#1 ¿ por que se propagan miles de virus cada dia? Uno de los metodos Hackers
La Ingeniería Social aplicada al malware
La Ingeniería Social es ampliamente utilizada por creadores de malware y delincuentes informáticos
debido al alto nivel de eficacia logrado engañando al usuario.
Es en la preparación de un engaño en particular, donde la Ingeniería Social comienza a ser aplicada por
parte los creadores de códigos maliciosos y otro tipo de atacantes. Cuanto más real parezca el mensaje,
más confiable sea la fuente y más crédulo sea el usuario, mayores posibilidades tendrá el atacante de
concretar con éxito sus propósitos y llevar a cabo la reproducción del malware.
1. Noticias sobre catástrofes
La lluvia de correos sobre las tormentas en Europa del 2007 confirma la efectividad de la Ingeniería Social:
la ingenuidad y la morbosidad humana fueron utilizadas como vehículos para la propagación de una de
las principales epidemias de los últimos años. Esas tormentas fueron el inicio de una familia de malware
conocida como Nuwar (o Gusano de la Tormenta), que utilizó cientos de asuntos y mensajes distintos
durante dos años para formar una gran Botnet con millones de usuarios infectados.
Incidentes de este tipo, junto con acontecimientos de relevancia para una sociedad en particular, o para
el mundo en general, son utilizados constantemente por los creadores de malware con varios fines. En el
pasado se han encontrado gusanos de correo electrónico que eran enviados como adjuntos de mensajes
que pretendían contener fotos o videos de catástrofes naturales (el Tsunami del 2004, Katrina en el 2005),
atentados terroristas (Las Torres Gemelas en el 2001, Atocha en Madrid en el 2004, etc.) y guerras
(Invasión de Iraq en el 2003, etc.), la ciberguerra entre Rusia y Estonia en 2007 o contra Georgia en 2008,
noticias falsas creadas para estos fines en 2009, etc.
Muchas personas sienten curiosidad por las imágenes o videos de situaciones como las anteriores y, por
El arma infalible: la Ingeniería Social. Son ampliamente utilizados como recursos para engañar a los usuarios y llevarlos a infectarse con distintos tipos de malware.
Esto no es todo. A lo largo del tiempo, fraudes informáticos de todo tipo se han valido de la buena
voluntad de los usuarios para llevar efectivizar estafas de diversa índole. En cada una de las situaciones
antes descriptas, siempre ha habido ejemplos de engaños por correo electrónico u otro medio, en los que
se busca lograr que una persona, con interés en donar dinero para ayudar a los afectados, termine
depositándolo en la cuenta del inescrupuloso responsable del fraude.
2. Famosos
Los programadores de malware también se valen de personajes famosos y políticos para lograr que sus
ceraciones se propaguen engañando a los usuarios desprevenidos o demasiado curiosos.
A lo largo de la historia del malware, existen casos en los que se menciona a cantantes (Michael Jackson,
Britney Spears, etc.), actrices y/o actores (Jennifer López o Angelina Jolie, por ejemplo), deportistas (Anna
Kournikova) y personalidades mundialmente reconocidas (Bill Gates, Osama Bin Laden, Saddam Hussein,
etc.); entre muchos otros.
Muchos de estos códigos maliciosos no hacen más que lograr repercusión en la prensa, como los
recordados casos en que se hacía mención a la fallecida Lady Di o a Britney Spears o el aún mencionado
Kamasutra (que en realidad es el gusano VB.NEI, Nyxem o Blackmal; según la casa antivirus) cuya mayor
propagación fue a través de las noticias, en lugar de utilizar los equipos informáticos de los usuarios.
Existen otros casos de gusanos de correo electrónico que, apoyándose en mensajes atractivos al usuario y
la mención de un famoso, logran una gran reproducción a través de la red (correo, mensajería, P2P, etc).
Actualmente, las redes sociales vienen cobrado relevancia al reproducir este tipo de amenazas con
supuestas imágenes o videos de personalidades famosas, que en realidad terminan descargando todo
tipo de malware.
3. Marcas y eventos conocidos
Una de las prácticas más usuales es el aprovechamiento de la confianza que el usuario tiene en alguna
empresa o marca reconocida.
El uso de nombres de compañías u organizaciones no sólo se aplica al malware adjunto a mensajes de
correo electrónico, sino también en troyanos, phishing y scam.
Una práctica altamente frecuente para la propagación de gusanos y otros códigos maliciosos, tiene como
base el envío de mensajes como si proviniesen de una reconocida empresa de software, con informaciól
sobre una supuesta vulnerabilidad y asegurando que el archivo adjunto o el enlace es un parche de
seguridad crítico.
En muchos de los casos de utilización de marcas, los creadores de códigos maliciosos incluyen una
leyenda al pie del correo electrónico informando que el mismo ha sido analizado por algún antivirus
reconocido y que está libre de malware con el objetivo de darle una mayor credibilidad al mensaje,.
También suelen registrarse casos en los que hay un aprovechamiento de eventos como el mundial de
fútbol, los juegos olímpicos o el Super Bowl estadounidense, por mencionar algunos.
Muchos de estos mensajes, cuando son enviados masivamente a través del correo electrónico, suelen
estar armados en formato HTML o texto enriquecido, incluyendo logos y el formato típico de la empresa u
entidad organizadora del evento.
En el caso del Scam y el phishing, la metodología es similar, diferenciándose en que no se suelen incluir
archivos adjuntos. Además, los mensajes creados para favorecer el phishing suelen utilizar nombres de
compañías relacionadas con el ambiente financiero (bancos, tarjetas de crédito, etc.), sitios de Internet
reconocidos (como Google, Yahoo!, PayPal, eBay, etc.), compañías de telefonía y muchas otras.
Dado que la mayoría de las empresas y organizaciones tienen políticas de uso en las que explican que no
enviarán mensajes de correo electrónico con archivos adjuntos, los usuarios nunca deben hacer caso a
este tipo de mensajes.
Conclusión
Los casos de Ingeniería Social son tan diversos como inabarcables. Este texto no pretende desarrollarlos
en su totalidad, sino informar a los usuarios sobre algunas de las metodologías mas frecuentes con las
que se presenta.
Los nombres de figuras o empresas conocidas y las noticias de importancia utilizadas para fraguar el
engaño se actualizan constantemente, así como se renuevan los temas a los que se recurre para generar
confianza en el usuario. El desconocimiento y la curiosidad son las vulnerabilidades que la Ingeniería
Social explota.
Por eso es importante que los usuarios se informen y eduquen. No todo aquello que es recibido por
Internet, desde cualquier medio, es fidedigno y, si no fue solicitado, hay grandes posibilidades de que se
trate de un malware o de un intento de engaño
fuente :http://www.eset-la.com/centro-amenaz...enieria-social
La Ingeniería Social es ampliamente utilizada por creadores de malware y delincuentes informáticos
debido al alto nivel de eficacia logrado engañando al usuario.
Es en la preparación de un engaño en particular, donde la Ingeniería Social comienza a ser aplicada por
parte los creadores de códigos maliciosos y otro tipo de atacantes. Cuanto más real parezca el mensaje,
más confiable sea la fuente y más crédulo sea el usuario, mayores posibilidades tendrá el atacante de
concretar con éxito sus propósitos y llevar a cabo la reproducción del malware.
1. Noticias sobre catástrofes
La lluvia de correos sobre las tormentas en Europa del 2007 confirma la efectividad de la Ingeniería Social:
la ingenuidad y la morbosidad humana fueron utilizadas como vehículos para la propagación de una de
las principales epidemias de los últimos años. Esas tormentas fueron el inicio de una familia de malware
conocida como Nuwar (o Gusano de la Tormenta), que utilizó cientos de asuntos y mensajes distintos
durante dos años para formar una gran Botnet con millones de usuarios infectados.
Incidentes de este tipo, junto con acontecimientos de relevancia para una sociedad en particular, o para
el mundo en general, son utilizados constantemente por los creadores de malware con varios fines. En el
pasado se han encontrado gusanos de correo electrónico que eran enviados como adjuntos de mensajes
que pretendían contener fotos o videos de catástrofes naturales (el Tsunami del 2004, Katrina en el 2005),
atentados terroristas (Las Torres Gemelas en el 2001, Atocha en Madrid en el 2004, etc.) y guerras
(Invasión de Iraq en el 2003, etc.), la ciberguerra entre Rusia y Estonia en 2007 o contra Georgia en 2008,
noticias falsas creadas para estos fines en 2009, etc.
Muchas personas sienten curiosidad por las imágenes o videos de situaciones como las anteriores y, por
El arma infalible: la Ingeniería Social. Son ampliamente utilizados como recursos para engañar a los usuarios y llevarlos a infectarse con distintos tipos de malware.
Esto no es todo. A lo largo del tiempo, fraudes informáticos de todo tipo se han valido de la buena
voluntad de los usuarios para llevar efectivizar estafas de diversa índole. En cada una de las situaciones
antes descriptas, siempre ha habido ejemplos de engaños por correo electrónico u otro medio, en los que
se busca lograr que una persona, con interés en donar dinero para ayudar a los afectados, termine
depositándolo en la cuenta del inescrupuloso responsable del fraude.
2. Famosos
Los programadores de malware también se valen de personajes famosos y políticos para lograr que sus
ceraciones se propaguen engañando a los usuarios desprevenidos o demasiado curiosos.
A lo largo de la historia del malware, existen casos en los que se menciona a cantantes (Michael Jackson,
Britney Spears, etc.), actrices y/o actores (Jennifer López o Angelina Jolie, por ejemplo), deportistas (Anna
Kournikova) y personalidades mundialmente reconocidas (Bill Gates, Osama Bin Laden, Saddam Hussein,
etc.); entre muchos otros.
Muchos de estos códigos maliciosos no hacen más que lograr repercusión en la prensa, como los
recordados casos en que se hacía mención a la fallecida Lady Di o a Britney Spears o el aún mencionado
Kamasutra (que en realidad es el gusano VB.NEI, Nyxem o Blackmal; según la casa antivirus) cuya mayor
propagación fue a través de las noticias, en lugar de utilizar los equipos informáticos de los usuarios.
Existen otros casos de gusanos de correo electrónico que, apoyándose en mensajes atractivos al usuario y
la mención de un famoso, logran una gran reproducción a través de la red (correo, mensajería, P2P, etc).
Actualmente, las redes sociales vienen cobrado relevancia al reproducir este tipo de amenazas con
supuestas imágenes o videos de personalidades famosas, que en realidad terminan descargando todo
tipo de malware.
3. Marcas y eventos conocidos
Una de las prácticas más usuales es el aprovechamiento de la confianza que el usuario tiene en alguna
empresa o marca reconocida.
El uso de nombres de compañías u organizaciones no sólo se aplica al malware adjunto a mensajes de
correo electrónico, sino también en troyanos, phishing y scam.
Una práctica altamente frecuente para la propagación de gusanos y otros códigos maliciosos, tiene como
base el envío de mensajes como si proviniesen de una reconocida empresa de software, con informaciól
sobre una supuesta vulnerabilidad y asegurando que el archivo adjunto o el enlace es un parche de
seguridad crítico.
En muchos de los casos de utilización de marcas, los creadores de códigos maliciosos incluyen una
leyenda al pie del correo electrónico informando que el mismo ha sido analizado por algún antivirus
reconocido y que está libre de malware con el objetivo de darle una mayor credibilidad al mensaje,.
También suelen registrarse casos en los que hay un aprovechamiento de eventos como el mundial de
fútbol, los juegos olímpicos o el Super Bowl estadounidense, por mencionar algunos.
Muchos de estos mensajes, cuando son enviados masivamente a través del correo electrónico, suelen
estar armados en formato HTML o texto enriquecido, incluyendo logos y el formato típico de la empresa u
entidad organizadora del evento.
En el caso del Scam y el phishing, la metodología es similar, diferenciándose en que no se suelen incluir
archivos adjuntos. Además, los mensajes creados para favorecer el phishing suelen utilizar nombres de
compañías relacionadas con el ambiente financiero (bancos, tarjetas de crédito, etc.), sitios de Internet
reconocidos (como Google, Yahoo!, PayPal, eBay, etc.), compañías de telefonía y muchas otras.
Dado que la mayoría de las empresas y organizaciones tienen políticas de uso en las que explican que no
enviarán mensajes de correo electrónico con archivos adjuntos, los usuarios nunca deben hacer caso a
este tipo de mensajes.
Conclusión
Los casos de Ingeniería Social son tan diversos como inabarcables. Este texto no pretende desarrollarlos
en su totalidad, sino informar a los usuarios sobre algunas de las metodologías mas frecuentes con las
que se presenta.
Los nombres de figuras o empresas conocidas y las noticias de importancia utilizadas para fraguar el
engaño se actualizan constantemente, así como se renuevan los temas a los que se recurre para generar
confianza en el usuario. El desconocimiento y la curiosidad son las vulnerabilidades que la Ingeniería
Social explota.
Por eso es importante que los usuarios se informen y eduquen. No todo aquello que es recibido por
Internet, desde cualquier medio, es fidedigno y, si no fue solicitado, hay grandes posibilidades de que se
trate de un malware o de un intento de engaño
fuente :http://www.eset-la.com/centro-amenaz...enieria-social
0
