Rumorología antivirus."A una colectividad se le engaña siempre mejor que a un hombre". A bote pronto esta afirmación de Pío Baroja puede parecer errónea, pero enseguida cobra sentido si pensamos en el fenómeno de la rumorología, cómo una información ... ... falsa puede expandirse con gran fuerza en un colectivo, donde los individuos actúan como cadenas propagando el rumor de forma inconsciente. ¿Por qué se propaga un rumor?. Otro aspecto interesante del rumor es que evoluciona y se intensifica al transmitirse. Cada uno de los individuos puede añadir elementos a la información para dotarla de mayor credibilidad de cara a terceros, por lo que el bulo crece con fuerza a medida que se propaga aprovechando las relaciones de confianza entre individuos. Una misma historia puede sonar más o menos convincente dependiendo del grado de confianza que tengas en el transmisor. ¿Pero que tiene todo esto que ver con los antivirus? En el 2002 se llevó a cabo en España la II Campaña de Seguridad en la Red, encabezada por la Asociación de Internautas con la colaboración de diversas instituciones, desde el Ministerio de Ciencia y Tecnología hasta medios de comunicación. Entre otras actuaciones se facilitó de forma gratuita diverso software de seguridad: Antivirus de Panda, CheckDialer de Hispasec o una pequeña utilidad desarrollada por la propia Asociación de Internautas denominada "AlertVir". Es esta última la protagonista de nuestra historia. AlertVir es una especie de "avisador", tipo cliente RSS para Windows, que muestra información sobre malware de nueva aparición. Un programa tan pequeño como legítimo e inofensivo. Algunas heurísticas de varios motores antivirus empezaron a detectar de forma errónea esta utilidad, es lo que llamamos "falso positivo": CAT-QuickHeal: (Suspicious) - DNAScan Como puede observarse las primeras detecciones eran muy genéricas, en los nombres dados se hace mención a "sospechoso" ó "posible amenaza". La clave sin embargo la podemos encontrar en la firma de Sophos que lo identifica como "Mal/Packer", lo que nos da una pista de porque algunos motores antivirus empezaron a detectarlo. El ejecutable de AlertVir está comprimido con la utilidad "UPack" para hacerlo más pequeño. Algunos creadores de malware también utilizan este tipo de utilidades para ofuscar sus especímenes, por lo que algunos antivirus optaron por el camino más fácil: identificar directamente como sospechoso cualquier software que utilice alguno de estos packers. Lo que en principio fue un caso más de falso positivo y heurísticas paranoicas ha ido degenerando con el tiempo a medida de que otros antivirus detectaban la utilidad como malware, probablemente llevados a equívoco por alguna de esas primera detecciones. El caso es que ya no se trataba de heurísticas paranoicas basadas en el packer, sino que los motores empezaron a crear una firma específica para detectar a AlertVir identificándolo como malware con nombre propio: AntiVir: PHISH/FraudTool.AlertVir.A Por las denominaciones antivirus podemos apreciar que en estos casos se trata de una identificación unívoca (AlertVir), no por heurística, y por los prefijos la mayoría lo cataloga como herramienta para llevar a cabo algún tipo de fraude (FraudTool). Con el transcurso del tiempo la bola de nieve ha ido creciendo cual rumor, ya que cada uno de esos motores que identificaron erróneamente a la aplicación hacían más creíble que se trataba de un malware, y el resultado a día de hoy es que, nada más y nada menos, 31 motores antivirus identifican a AlertVir: a-squared: Win32.SuspectCrc!IK Para minimizar situaciones similares sí sería deseable establecer mejores controles antes de dar como buena la detección de otro motor, por muy reputado que nos parezca, y siempre evitando la copia de firmas indiscriminadas sin algún tipo de análisis independiente adicional (evitar el plagio sin más). Como con los rumores en el boca a boca, es necesario cierto sentido crítico antes de dar por buena la información que recibimos y hacernos eco de ella. Otra área de oportunidad interesante es la colaboración de la industria para la gestión de los falsos positivos. Los errores son inevitables en cualquier actividad, y el determinar si un software es malintencionado o legítimo es una tarea más complicada cada día, no existe un algoritmo perfecto. Si a eso le sumamos que, dada la cantidad de malware, la industria se ha visto obligada de pasar de los analistas humanos a la automatización a la hora de discernir el goodware del malware, el ratio de errores se ha incrementado considerablemente. Hasta la fecha los errores por falsos positivos se suelen gestionar de forma individual. En el propio caso "AlertVir" hubo al menos dos casas antivirus que rectificaron y eliminaron sus firmas de detección, si bien ese conocimiento no se propagó al resto de laboratorios. En la actualidad existen canales de colaboración para el intercambio de muestras de malware y amenazas en general, sería beneficioso que se establecieran mecanismos similares para corregir errores por ese "exceso de celo". La industria del desarrollo de software, cada vez más golpeada por los falsos positivos, lo agradecerá.
Detección de alertvir.exe en VirusTotal Alertvir, paradojas antivirus AlertVir
|
|||||
| |||||
