Foro de Inteligencia, Espionaje y Servicios Secretos

Inicialmente habia escrito este post en otro hilo de aquí, La Cafeteria, sobre "Ciberseguridad : nuevos modus operandi en la red", pero lo saco de ahi porque el enfoque al que quiero ir es diferente a lo que se trata allí. La cosa es que como no veo ningun foro donde encaje, pues lo dejo aquí, lo mismo si aparecen mas hilos sobre estos temas se les pueda ubicar en algun foro de los que ya hay o en uno específico. Dictará el interés que genere la cosa.

El uso de Internet y sus recursos por las organizaciones criminales es muy amplio, con el tiempo ha ido surgiendo una forma de trabajar "colaborativa", de forma que:

+ Unas mafias son las "dueñas" de las redes de zombis o botnets (miles de ordenadores controlados a distancia por usuarios ilegítimos que los propietarios ni se enteran, en los trabajos, casas...)

+ Otras mafias les encargan trabajos (envíos de Spam, ataques DDoS -Denegación de Servicio Distribuido- para extorsionar al atacado) o le compran información (datos de tarjetas) o les "alquilan espacio en disco" (para tener distribuida la pornografia infantil) o...

No quiero decir que hayan desaparecido los tradicionales grupos de hackers con su variedad de objetivos, no de esos sigue habiendo, han surgido los radicalizados con causas terroristas, anti... pero en el universo de los malos en Internet, los más poderosos se han organizado de esa forma, unos tienen redes de cientos de miles de zombis que alquilan para "servicios".

Tras darle un gran golpe a la mayor de esas redes (controlada por mafias rusas) a mediados de noviembre pasado, ha surgido en la red un gusano que esta construyendo la mayor botnet conocida, de un tamaño muy superior a cualquiera de lo anterior. Antes se estimaba en unos 10 millones los zombis pillados por las diversas botnets. Esta debe superar ampliamente los 50 millones y sigue creciendo.

Por otra parte, Estonia y Georgia han sido los dos primeros estados en verse envueltos en una guerra cibernética, perdieron por supuesto; ambas fueron atacadas desde Rusia.

En estos dias, Israel esta sometido a un ataque cibernético por grupos de hackers musulmanes, yo no he visto datos que apunten a ataques DDoS, solo el típico hackeo de sitios web cambiándote la página de inicio, borrado de datos, colarles shell inversas para control remoto... pero no veo que se hable de algo de las dimensiones de lo que se le hizo a Georgia o Estonia que quedaron con amplios recursos, civiles y militares, sin servicio.

¿Llegará el dia en que las redes teorrirstas alquilen los servicios de las grandes redes de zombis? ¿Quien está realmente detrás de esas mafias que controlan las mayores redes de zombis?

Ese es el tema que me gustaría tratar y no se si habría interés aquí en ello.



ESTE ES EL POST QUE HABIA ESCRITO EN EL OTRO HILO:

¿Interesarían aquí temas como ciberterrorismo o ciberguerra? el peligro que puedan representar las botnets: miles de equipos controlados a distancia por usuarios ilegítimos.

Por ejemplo, en estos dias se está creando la mayor botnet que se ha conocido, tuvo su primera oleada de distribución a finales de noviembre, para finales de diciembre ha tenido otra. Por ahora no se sabe a qué se la quiere dedicar, pero el tamaño que ya tiene y la capacidad de predar el sistema y congestionar la red que ya ha demostrado, le hace ser un fenómeno a mirar con interés.

Os dejo un enlace:

Muy, muy preocupante

Lo escribe John Markoff, se hizo famoso por capturar al hacker Kevin Mitnick, fijaos los datos que da: a primeros de diciembre dice que hay mas de 10 millones de equipos capturados por las diversas botnets, entre todas, sin embargo esta nueva debe andar ya por los 50 millones.


Para presentar un poco más el tema:

11-Nov-2008: se bloquea en Internet una red desde la que controlaban un altisimo porcentaje de la actividad maliciosa en Internet.
Tras una investigación del Washington Post que culpa en última instancia a mafias rusas, se les cierra y el nivel de Spam en el mundo decae abruptamente en un 75%. La red conocida como McColo.

http://hostexploit.com/index.php?option ... &Itemid=15
http://hostexploit.com/index.php?option ... &Itemid=15


Ya antes se había cerrado otra: Atrivo, y se venía de un escenario en que las redes botnet llevaban unos años creciendo y siendo gestionadas por mafias cada vez más peligrosas.


Estonia y Georgia fueron objeto de ataques cibernéticos procedentes de Rusia, en el caso de Georgia fue el preludio de la invasión militar.


Y ahora tenemos un gusano distribuido como nunca antes lo había estado otro, que se sabe que busca algo, un segundo componente o una orden, que por ahora lo único que hace es distribuirse, la segunda oleada es más lista que la primera, y se sabe que tiene ya capacidad de hacer daño en la red.


Esto es algo que ocurre justo ahora, en estos dias. Mirad dentro del enlace, la última actualización es de ayer.

http://www.microsoft.com/security/porta ... =conficker


Este tipo de cosas ¿Interesaría aquí?

A finales de año hubo una segunda oleada de Conficker (o Downadup), si buscas en Google "conficker" y en búsqueda avanzada elijes las últimas 24 horas, vas viendo como evoluciona lo que la gente dice. Esos dias de fin y principios de año afectó principalmente a LATAM y EMEA, Latinoamérica y la región Europa-Oriente Medio-Africa.

Posts en el blog del respeonsable de seguridad de Microsoft para EMEA :

http://blogs.technet.com/rhalbheer/arch ... twork.aspx

Del 4-enero, más o menos cabreado porque les había tocado currar de lo lindo y todo porque la gente no aplica parches que salieron a final de octubre. Si váis al enlace veréis las respuestas de los que escriben y comprobaréis que aunque quieras, no es tan inmediato mantenerte al dia de parches. Que algunos clientes se mostrasen molestos por el tono del post, hizo que hace unas horas, el 11-enero, sacase un segundo post.

http://blogs.technet.com/rhalbheer/arch ... art-2.aspx

Mantiene la importancia de estar al dia de parches, pero reconoce que con una sola máquina infectada "o" sin parchear, comenzará a esparcirse por toda la red de una forma rápida y agresiva.



Mirad otras cosas de ayer mismo:

Gente de grandes organizaciones, no dicen cuales, lo ven crudo, sistemas que ya han limpiado, parcheado, reforzado las defensas... van y se reinfectan. El otro dice que a su sitio llegó estando los sistemas parcheados y bien actualizados. Esta gente tiene a las grandes casas de antivirus trabajando para ayudarles, lo dicen. Hoy lunes 12 esperan una actualización de McAfee que solucionará las cosas, pero ya es la tercera vez que lo dice en pocos dias y no están muy convencidos de que esta sea la buena.


http://episteme.arstechnica.com/eve/for ... 3002156931

Our facility is in the cleanup process of a seemingly new iteration of
the Conficker / Downadup worm. I've heard of a few other sites being
infected, and I'm curious to see what solutions others have either
found or difficulties they're having.

By the way, even though the previous iterations of this little bugger
depended on KB958644 (MS08-067) not being applied to systems, we're
seeing this propogate to and from systems that have been patched. A
lot of the previous Conficker removal tools do not work.

We're using a combo of Trend Micro Sysclean and GMER to get this
bugger out, with our AV vendor trying their best to assist with
identifying, containment, and clean.

But to be blunt; it is not going well. Clean, patched systems with
updated defs get reinfected, etc.

http://www.f-secure.com/weblog/archives/00001574.html

Anyone else pounding their head on the wall over this one?

http://www.wilderssecurity.com/showthread.php?p=1383218

Hate to say it Rk but right now, I'm not convinced there is an answer
to this one.

We've been working on this (in a huge organisation) for three days
now. It's everywhere and our machines all had MS08-067 and latest
McAfee updates before it arrived. Lot's of bods been working directly
with McAfee and there is a rumour of an update on Monday that will
finally sort this out, but we've been promised that for the two
previous updates.

If your requirement is personal / not too critical, you could try the
free cleansing tool available from F-Secure
(http://www.f-secure.com/v-descs/worm...nadup_al.shtml) but it comes
with lots of caveats to warn that it may wreck your system, so we
can't afford to use it on production servers.

Best o' luck

¿Es Conficker "the big one"?

Pensad que por el tamaño que tiene y por las características que dan, todavía no sabemos si se trata de:

Millones de cabezas de puente perfectas y autorreplicantes.
La metástasis de las redes.


El que lo ha hecho, es un malo muy malo, no se sabe para quien trabaja ni lo que pretende, pero malo es una barbaridad.

Y esto no ha empezado todavía, ahora mismo solo se está desplegando, a la vez que castiga el hígado de quienes tienen que luchar contra el. Casas antivirus, Micorosoft, administradores, derrengados. Mientras tanto, como una garrapata, salta de un sitio a otro y se agarra y esconde. Es como un Alien, mortífero y diseñado para sobrevivir y ocuparlo todo. Nada más propagándose ya genera problemas en sistemas y redes, cuando le den la orden de hacer daño veremos.

Tengamos en cuenta que más bien todos los operadores de telefonía ya sea fija o móvil, en algún punto de su red tienen equipos windows, que infectados pueden dañar la red de voz, este bicho nos puede dejar sin móviles en amplias zonas, sin telefonía fija en otras, sin internet...

Yo no me creo que esto tenga objetivos "normales". Diría que van a usar la táctica del olvido, en un tiempo todo el mundo se habrá acostumbrado a tenerlo, de tanto en tanto generará algún problema pero la gente se relajará, y cuando más descuidados estemos, sus amos lo activarán. Estos no tienen prisa, lo lanzaron a finales de noviembre, la gente se esta empezando a asustar ahora, aunque algunos ya llevamos viendo que esto no es normal desde los primeros dias, si deja de dar la lata, la gente se relajará y si hasta ahora no ha valido de nada todas las advertencias y alertas que hemos lanzado, ni siquiera viendo como se cumplían nuestras predicciones se han tomado las medidas que recomendábamos, como se quede quietecito por un tiempo, aquí paz y despues gloria, claro que eso solo es una falsa impresión.

Este bicho está hecho por unos malos muy malos.

¿Conseguiremos contener su golpe? ¿Quién ganará esta guerra?

http://www.fireeye.com/downloadfiles/GSN_AA_Oct08.pdf

Un enlace muy interesante, solo es una página y media, esta en inglés, de octubre de 2008.

U.S. must secure its systems and cyber infrastructure against botnet attacks

...
Intelligence officials have testified that coordinated botnet attacks could seriously disrupt electric power distribution, air traffic control and financial sectors. Private entities such as Internet service providers (ISPs) must also be called upon to play a greater role in securing our cyber infrastructure.
...
Google researchers estimate that one in four networked PCs may belong to one or more botnets. That amounts to approximately 150 million
infected machines worldwide that typically get infected by simple Web browsing, even on legitimate Web sites.
...
The cyber attacks on Estonia and Georgia crippled their information infrastructure, and raise an urgent alarm that the U.S. must also protect against cyber warfare and cyber terrorism attacks.
...

Os animo a que leáis la media página última, bueno leedlo entero mejor, los puntos "We must..." para prepararse, básicamente:

1.- Darle cuerpo legal al delito de crear, operar y mantener una botnet.
2.- Crear estándares de seguridad contra botnets para la industria: Operadoras, ISP...
3.- Colaboración entre las Agencias oficiales y las casas comerciales expertas en seguridad.

No parece entenderse de ahí un espíritu restrictivo para las libertades individuales, el tópico de renunciar a una parte de tu libertad a cambio de tranquilidad, seguridad.


Este cifra en 150 millones las máquinas pilladas entre todas las botnets, un cuarto del parque mundial parece entenderse de esas estimaciones, bastantes más que los 10 que estimaba John Markoff citando a Panda y el artículo de Markoff es más reciente. A mi estos de Fire Eye me dan buena sensación siempre, seguramente esté más cerca de 150 que de 10.

Dentro de poco haremos otra medida para estimar el tamaño que esta alcanzando esta de Conficker, cuando tenga los resultados los daré, para el 19 de diciembre contamos algo más de 32 millones.


Mirad lo que dice ahora Panda de Conficker, es de hace unas horas:

http://www.pandasecurity.com/spain/home ... =&entorno=

ALERTA NARANJA: Diversas variantes del gusano Conficker están infectando miles de ordenadores

...
Conficker, una nueva familia de gusanos informáticos, ha infectado ya miles de ordenadores en todo el mundo. PandaLabs, el laboratorio de detección y análisis de malware de Panda Security, ha localizado ya tres variantes de este código malicioso (Conficker.A, B y C). Las primeras infecciones de este gusano se produjeron a finales de noviembre, aunque ha sido después de las vacaciones navideñas cuando se ha producido un importante aumento en su actividad.
...
Para aumentar su peligrosidad, este gusano se actualiza cada día descargando nuevas versiones de sí mismo en los equipos infectados desde páginas web cuya URL cambia continuamente, lo que hace más difícil bloquearlo.
...

No es exactamente así, este genera cada dia 250 nombres aleatorios y los busca cada tres horas, casi ninguno existe, son mayormente .info y .biz, desde que lo lanzaron, algunos los han activado los malos, esto es, como conocen la secuencia de cada dia, pues compran uno, el dia que quieran, cerca de las 10 de la noche, para que el nuevo nombre tenga dos horas para propagarse por los DNS de todo el mundo y enseguida que llega la media noche GMT, se cronometran por la hora de Google y otros más, los infectados irán a buscar una url concreta en todos los 250 dominios esos, como tu tienes uno, lo puedes usar para ver cuantas visitas tienes y así cuentas tu botnet o para descargarle un segundo componente, darle una orden, actualizarlo...

Este bicho puede tener ya todo lo que necesita y solo estar esperando una orden para ponerse a hacer lo que sepa, por ejemplo ataques DoS contra un objetivo que le pasan en la orden.
O puede ser un mecano y solo se ha distribuido la primera pieza, la que se propaga y luego le descargan módulos para robo de credenciales, datos de tarjetas, cuentas de banco, almacenamiento de pornografía infantil, ataques DoS, spam...


De las tres versiones que comenta Panda, nosotros tenemos dos, el A y B, el C todavía no lo tengo; el B es más listo propagándose que el A, es el que está creando pesadilla últimamente y los dominios que genera son diferentes. Eso puede servir para darle varias órdenes o para distribuirle varias piezas a la vez, una forma de segmentar tu botnet y dedicar unas partes a una cosa y otras a otra, o de tener varios canales de contacto, unos para darle ordenes, otro para descargarle partes del mecano...


Estoy seguro que al final, la mayor parte de equipos pillarán todos a la vez, el A, B, C... y los que salgan, el B es una máquina de saltar de un lado a otro y acabará por entrar donde antes hubiese entrado el A, ya veré ese C cuando se digne infectarme a mi.


Desde luego que pulula una peña por Internet que te quedas de una pieza.

El resto del artículo de Panda enfoca el posible objetivo del gusano hacia lo tradicional de una botnet y lo compara a otros gusanos históricos, algunos como el SQL Slammer todavía siguen estando ahí, casi seis años después sigue ahi, es como una radiación de fondo del universo cibernético, te rediriges el puerto 1434 UDP en el router de casa a un equipo y verás que con cierta cadencia te llegan paquetes de cualquier sitio del mundo.

Yo todavía no tengo claro que eso sea así. Con una potencia mayor puedes plantearte extorsionar en lugar de a un Casino online a un banco, a una multinacional y por qué no, a un Estado.

Se aproxima San Valentín...

Poco después de mi último post, oi sobre un par de submarinos nucleares de UK en Gibraltar, llegaron a estar dos dias y se fueron, luego salieron unas noticias muy curiosas de la marina brtiánica afectada por un gusano misterioso.

Este pollo nada más propagarse, en determinados momentos hace un daño tremendo, consume a la máquina donde está y la deja KO para otras cosas, porque a lo suyo no veas como le va, no es que la máquina se quede tostada, eso le parece al que la quiere usar, la máquina está a toda pastilla intentando propagarse y generando todo el traico que le permita la conexión que tenga.

Estas noticias que os traigo solo son síntomas de ello, ni que le haya afectado a la marina británica o a la francesa quiere decir que hayan sido sus objetivos, no simplemente el pimpollo pasó por ahí y los dejó sin servicios, como le ha pasado a personalidades, a un Ministro de un pais centroeuropeo, a hospitales, juzgados...

Desde entonces hasta se ha planteado una solución para que no se actualice, si puedes predecir esos dominios pues en los DNS "buenos" resuelves esos nombres a unas IP controladas por ti o a una tipo 127.0.0.1 que para cualquier máquina es ella misma y ya estaría, es un poco más complejo pero esa es la base; no lo veo fácil de aplicar a nivel mundial, eso te puede ayudar en grandes corporaciones por dentro, con eso y exremando un poco controles sobre lo que entra y sale ya empezarías a estar protegido, pero no nos creamos, los que han diseñado esto seguro que tienen en cartera alguna vulnerabilidad que no conoce ni Microsoft y su actualización la aprovechará y correrá millas si no has tomado otras precauciones, ante lo que viene solo hay una salida: defensa en profundidad.

Pero esa técnica es muy buena para deshacer la botnet, si llevas el tráfico a una máquina tuya puedes distribuir la vacuna, algo que puede tener sus problemas y no solo legales.

Hace poco hicimos otra medida, pero ahora la información de cantidad de infectados ya no es tan fiable como la primera vez, antes de Navidades todavía no había alerta generalizada sobre este Conficker, desde entonces se han limpiado muchas máquinas, ahora solo es una cifra de cantidad de infecciones con éxito que han hecho los que tu has conseguido contar. Tampoco puedes decir que en un momento dado hubo tantos equipos infectados a la vez, solo sabes que la cantidad de ataques con éxito han sido de... 100 millones, de Conficker A que es el que pudimos medir porque la infraestructura que teníamos no permitía más, de hecho no pudimos con todo el tráfico del A.

Se supone que hoy ya esta operando la solución esa, lo hace OpenDNS, si te configuras en sus equipos sus DNS, estos dominios malos ellos los resuelven, por ahora de lo que voy viendo a ninguna IP y así no vas a ningún sitio ni haces nada. De tanto en tanto podrán hacer pruebas y resolver a una IP alguno concreto para tomar medidas, pero vamos, mejor dejar estos dominios sin resolver la mayor parte del tiempo. Claro, que no todo el mundo lo sabe, no todo el mundo sabría cambiarse el DNS... así que muchos confiquerados llegarán a su pastor.

Este fin de semana pasado ha habido un cambio en el ritmo de activar dominios por parte de los malos y en las IPs que han elegido para ello, varias IPs para cada uno, algunas de ellas apuntando a un sitio bueno, intentando aparentar que era una gran empresa conocida la que los registraba, hoy los buenos han activado cerca de 20 dominios para tomar medias a lo grande, no creo que me vaya a enterar de lo que saquen, pero algo trascenderá en no mucho tiempo.

De mis conocidos, el que más sabe de seguridad, cree que andamos escasos de tiempo, los que han hecho esto van a dejar marca de hacker. La primera demostración de fuerza va a tener lugar este fin de semana, San Valentín y los Viernes 13 son fechas de grupos de hackers, y este tiene una intuición muy fina, estos quieren fama.

No se si tiene que ver, desde el domingo se está realizando una serie de ataques DDoS contra portales especializados en seguridad, probablemente no, pero ocurre. Es interesante segurilos por las pistas que te puedan dar.

http://blog.metasploit.com/2009/02/path ... und-3.html

Podéis ver que por ahora ha habido tres rounds y les han obligado a tomar medidas drásticas, claro que no son grandes sitios con unas infraestructuras inmensas, pero no son cualquier cosa; les han obligado a cambiar de IP para que el ataque siga contra la vieja y ellos poder dar servicio en otra, resolver ellos mismos a 127.0.0.1 durante unas horas para que les dieran un cuartel... y son gente especializada en seguridad, que saben defenderse... pero les han mandado mucha leña, por los datos que da de tráfico, con 10 mil adsl estandar de España pilladas lian ese estropicio seguro y para que sea de continuo, entre que unos apagan el equipo porque se van a currar o lo que sea, a lo ancho del mundo la efectividad media de un equipo pillado es de unas 8 horas al dia, pues con 30.000 obligan a especialistas a enrocarse dia y noche, así que con varios millones, pues una de dos: o hacen lo mismo pero más veces o se atreven con algo más grande.


Si yo fuera el malo y supiera hacerlo, con el Conficker habría distribuido un componente rootkit, que se instalase en el MBR del disco duro de sistema y la parte visible, pues el dia de San Valentín, que saque una postal en todos los equipos infectados y como si fuera un chaval que le dice a su vecina que está enamorado y no sabía como decírselo y si encima tienen a alguien que se preste a dar la cara y decir si fui yo (y sepa sostenerlo ante especialistas, claro) pues mejor que mejor.

Vale que por ahora ha causado un daño a muchas empresas, pero debe ser tanto el pánico a ver qué es lo que hace que si sale un crio con pinta de genio diciendo fui yo que soy muy tímido y sale lo mismo hasta su cara en la postal, como los mayores dañados han sido grandes sitios, entre la gente normal no ha casuado estragos, pues resulta que tiene pocos enemigos y se haría especialmente famoso, no creo que las grandes empresas quieran ponerse a llevar a tribunales a un chaval un tanto débil y de un pais pobre de centroeuropa, de Ucrania por ejemplo, pues resulta que Conficker intenta propagarse por todos sitios, pero detecta qué IPs son de Ucrania y de esas pasa.

De esa manera podrían haber dejado sus rootkits para años y años en las empresas, todo el mundo diría "menos mal" y con lo caro que tiene que ser para una gran empresa ponerse a encontrar los equipos infectados, parchear a toda máquina montones de máquinas, portátiles, servidores... si ven que poco después no ha pasado nada, tenemos los equipos pilados ad-eternum, porque cuando lleguen otros modelos nuevos, los infectarán desde el de al lado.

Hace no mucho que han salido esos componentes rootkit, trabajan sin que el sistema operativo sepa de ellos, pueden ejecutar cosas en el sistema operativo y este se cree que es un usuario o el propio sistema, se comunican y se saltan el firewall local, se comunican con sus centros de control por canales cifrados, los grandes especialistas hablan ya de Malware Operating System, se ve que están haciendo módulos que acabarán por ensamblar.


Unos enlaces por si hay curiosidad:


Malware Operating System

http://www.sahw.com/wp/archivos/2008/10 ... t-mebroot/


Desde Rusia dejan fuera de Internet a Kyrgzystan

http://www.theregister.co.uk/2009/01/28 ... d_offline/


La Royal Navy despliega una versión modificada de Windows en su flota de submarinos nucleares:

http://www.google.es/url?q=http://www.s ... KcHEejrl1w

Un virus misterioso deja sin Internet a la Royal Navy, a un 75% reconocido, dicen que a los sistemas de navegación y de armamento no les afectó.

http://www.theregister.co.uk/2009/01/15 ... /comments/
http://www.sophos.com/blogs/gc/g/2009/0 ... l-systems/

Hospitales en Londres afectados por Conficker

http://article.wn.com/view/2008/11/19/C ... hospitals/

La Corte de Houston afectada por Conficker

http://www.theregister.co.uk/2009/02/09 ... infection/
http://www.napera.com/blog/?p=647

El Ministro de Economía de Eslovenia afectado.

http://www.sloveniatimes.com/en/inside. ... 436DBF408E


Mirad quienes dicen tener un proyecto de producto antimalware de nueva generación que lo ha detectado: una universidad paquistaní y lo dicen preciándose de que detectan las variantes de Conficker sin tener conocimiento previo de ellas a pesar de los palos que le ha dado a por ejemplo la marina inglesa. El concepto de "AIS" "Artifficial Inmune System" ya lleva unos años de recorrido, no se donde se concibió, si en una mente de esa zona o de otra. Pero es curioso ver quien ha sido el primero en tener algo operativo que es bueno suficientemente para detectar esto, lo mismo son unos medallistas y en realidad ya hay por ahi otros desarrollos sobre esto que le dan cien mil vueltas, claro que ellos dicen que por muy buenos que sean, el que tenga la marina británica (si es que tiene) no lo detectó.

Os pongo unos enlaces de la caché de Google:

http://209.85.229.132/search?q=cache:Kr ... =firefox-a

http://209.85.229.132/search?q=cache:e_ ... =firefox-a



A los franceses les dejó los aviones en cubierta, no se podían descargar los planes de vuelo.

http://www.theinquirer.es/2009/02/08/la ... liker.html

http://www.cio.com/article/480115/Confi ... vy_Network

Conficker Worm Sinks French Navy Network
A highly disruptive Internet worm has claimed a new victim: the French navy.

By Robert McMillan

February 09, 2009 — IDG News Service — A highly disruptive Internet worm has claimed a new victim: the French navy.

The worm, known as Conficker, forced the navy to voluntarily cut network connectivity to stop the worm from spreading on its Intramar network last month. Web browsing and email messaging on the network were disrupted, and some users were forced to rely on more conventional means of communication such as the telephone, fax or postal system, navy spokesman Jerome Erulin told the Ouest-France newspaper (in French). The French navy could not be reached immediately for comment on this story.

Reports indicate that the worm was probably introduced when an infected USB drive was plugged into a computer on the network, probably by a soldier who was working from home. One of the ways Conficker has spread is by infecting things like flash drives and cameras and then copying itself onto PCs when they are plugged in. The worm can also spread throughout a local area network, but it is usually blocked from jumping to other networks by firewall software, which has kept it from becoming much more widespread.

Erulin told Agence France Presse (AFP, in French) that the infection was first detected on Jan. 12, nearly three months after Microsoft issued an emergency Windows patch for the vulnerability that Conficker exploits.

He disputed a report in Intelligence Online that the worm had grounded the French navy’s Rafale fighter jets, saying the worm did not affect operational systems. "The operational networks are much more secure," he told AFP.

The French navy isn't the only organization that didn't patch its systems in advance of the Conficker outbreak. Security experts believe the worm has infected more than 10 million computers worldwide, and it is reported to have infected low-level systems within the British military.
Copyright © 2008 IDG News Service. All rights reserved. IDG News Service is a trademark of International Data Group, Inc.

Im-presionante

He tenido que releer bastantes trozos porque me perdía, un grandísimo trabajo Thor. Y ya que estoy aprovecho, ¿crees que las grandes redes zombies/botnets/o como se llamen en el argot se preparan por encargo? Me refiero por ejemplo a los casos de ataques masivos a Estonia y Georgia coincidiendo con una crisis y una guerra respectivamente contra Rusia.

¿Cabe la posibilidad de que bandas criminales se dediquen a preparar esas botnets y alquilarlas o subastarlas para clientes como pueden ser gobiernos u otros grupos criminales?

Visto en la edición digital de El Mundo

Microsoft ofrece 250.000 dólares a quien 'cace' al creador de Downadup

El gigante de la informática Microsoft ha prometido 250.000 dólares, o lo que es lo mismo 211.900 euros, a quien logre identificar a los creadores del virus de gran resistencia conocido como 'Conficker' o 'Downadup' y que está provocando grandes quebraderos de cabeza en la compañía.

Un responsable de seguridad de la compañía, George Stathakopoulos, dice que "esperamos que los esfuerzos ayuden a controlar la amenaza que representa Conflicker y hacer que se rindan aquellos que hacen los programas maliciosos".

Por razones de eficiencia, Microsoft lucha contra este virus con la ayuda de algunas empresas especialistas en la seguridad informática, como es el caso de Symantec, F-Secure, VeriSign y la ICANN, organismo internacional responsable de la promoción de la estabilidad e integridad de Internet.

"El enfoque de Microsoft combina la innovación tecnológica y las alianzas multisectoriales para ayudar a proteger a la gente de los delincuentes", señala Stathakopoulos.

El virus ha infectado a múltiples sistemas informáticos en todo el mundo, también a la Red de la Armada francesa, cuyos funcionarios creen que se introdujo a mediados de enero por una memoria USB infectada.

También puede propagarse por Internet el virus, que una vez instalado resulta particularmente difícil de limpiar y es capaz de robar todas las contraseñas.

Microsoft aseguró haber actualizado su antivirus gratuito para ayudar a combatirlo.

Hay una respuesta sencilla para eliminar el peligro zombi, se llama "LINUX".

Yo uso (conjuntamente con XP en el mismo ordenador, pero este casi no lo uso) la distribución Ubuntu http://es.wikipedia.org/wiki/Ubuntu y la recomiendo 100%
En linux no existen autoejecutables como tal, por lo que cada vez que un hacker de la inteligencia rusa te quiera colar un programa espía se dará de bruces con un entorno que lo neutraliza. ¡Ale! a navegar seguros.

Según el Wall Street Journal
Un comando militar protegerá las redes del Pentágono de los ciberataquesEl Gobierno estadounidense estudia crear un nuevo comando militar centrado en la protección de las redes informáticas del Pentágono y en combatir los ciberataques contra Estados Unidos.


(Europa Press) Los cibermilitares se dedicarán especialmente a combatir a los atacantes provenientes de países como China o Rusia, según fuentes conocedoras del plan consultadas por el diario norteamericano The Wall Street Journal.

Fuentes del Pentágono anticiparon que este nuevo equipo de cibermilitares podría ser confirmado en las próximas semanas y, al menos en un primer momento, formaría parte del Comando Estratégico del Pentágono.

El presidente Barack Obama previsiblemente anunciará un plan para mejorar la seguridad en internet este mismo mes, tras varias reuniones en la Casa Blanca, mientras que el secretario de Defensa, Robert Gates, sería el encargado de publicar la creación del cibercomando.

The Wall Street Journal denunció que son frecuentes las brechas en la seguridad del programa armamentístico del Pentágono, valorado en 300.000 millones de dólares. La identidad de los atacantes y los costes de estos asaltos cibernéticos podrían no conocerse nunca, apuntó el rotativo, si bien al menos en su mayor parte procederían de China por la facilidad con la que se pueden ocultar las identidades en internet desde este país asiático.

Un pirata informático, sindicado como miembro de una red terrorista internacional no precisada, fue arrestado en Argelia a pedido de Interpol tras destruir reportes secretos del sitio digital del Departamento de Defensa de Estados Unidos, según la prensa local.

El “hacker”, de 22 años e identificado por las siglas Y.S., fue arrestado en la localidad de Batna, en el país norafricano, por unidades especiales de la policía judicial argelina. La noticia, publicada por el diario Ennahar, no fue confirmada por fuentes oficiales.

El arrestado, según el reporte, robó importantes sumas de dinero de cuentas bancarias. El joven fue detenido en posesión de sumas de dinero en euros y dólares. Las investigaciones fueron realizadas por los servicios de seguridad estadounidenses e internacionales, en colaboración con los de Argelia.

En el pasado, otros piratas informáticos argelinos lograron violar sitios israelíes y el portal de la presidencia de Egipto y de la federación de fútbol de ese país, tras la fuerte tensión a raíz de la accidentada clasificación de Argelia al Mundial de Sudáfrica 2010.

El Ejército surcoreano planea prohibir el uso de las memorias flash USB a partir del próximo año, después de llevar a cabo un nuevo sistema de transferencia de información.

El Ministerio de Defensa de este país asiático asignará 2.800 millones de wones (2,5 millones de dólares estadounidenses) al desarrollo de un sistema alternativo para poner fin al uso de dispositivos de almacenamiento portátil para la transferencia de información.

La estrategia tiene lugar como respuesta a los recientes ataques de piratería, en un momento en que Seúl intensifica sus esfuerzos para frenar los ataques cibernéticos, creando el primer comando cibernético de su tipo para hacer frente a las amenazas cibernéticas que han surgido recientemente.

En noviembre pasado, un plan contingente de guerra elaborado por Corea del Sur y Estados Unidos, en caso de una presunta invasión por la República Popular Democrática de Corea, fue extraído de un dispositivo de almacenamiento portátil de un oficial del Ejército que lo utilizaba para transferir información a un ordenador con conexión de cable.