Linux y rootkits, malware, ramsonware... Herramientas de seguridad

Como usuario de Linux he estado bien tranquilo estos días de WannaCry. Sin embargo, ciertas informaciones sesgadas (véase aquí) pueden haber intranquilizado a algunos usuarios. Ese artículo es tendencioso, aporta datos extraídos de forma sesgada y da la sensación de haber sido creado solo como carga de profundidad contra otros sistemas operativos diferentes a Windows. A pesar de eso, sí es cierto de que ningún software es completamente seguro. La pregunta que nos debemos hacer es si es más seguro un sistema cerrado, véase Windows como paradigma, que no ve nadie salvo sus programadores (y la CIA, la NSA, El FBI, el presidente de USA, sus hijas, el portero de la Casa Blanca...) o un sistema libre y gratuito y, por lo tanto, transparente y legible por todo el mundo (para lo que nos interesa ahora mismo, Linux, pero no solo él). Cada uno que se dé una respuesta y según ella actúe en consecuencia. Personalmente tomé en 2007 una respuesta y he cambiado mi forma de trabajar con las máquinas, pero no soy un profeta; cada uno que decida por que camino quiere ir.
Para los que hemos tomado el camino de lo abierto, tenemos que tener en cuenta que sí es cierto que no existe nada perfectamente seguro. No tengo un sistema antivirus en mi sistema, y cuando he utilizado ClamAv ha sido más por evitar la presencia de virus que afectaran a terceros (Windows users) en los adjuntos que enviaba por correo electrónico. Sea como sea, por muy seguro que pensemos que sea Linux, debemos seguir unas actitudes de seguridad básicas, como no "jugar" con correos de origen desconocida (o incluso con aquellos de origen conocido pero con enlaces "sospechosos", sobre todo ficheros rar con contraseña), no pinchar enlaces extraños en páginas web "raras", tener bien configurado el cortafuegos, para lo cual agradezco mucho la máscara gráfica de configuración que nos ofrece Fedora

y disponer de herramientas que detecten la presencia de rootkits y malware. Veamos algunas
1. RKHUNTER - A lo largo de muchos años he utilizado rkhunter. Esta herramienta, además de detectar malware, también detecta las variaciones en ficheros importantes del sistema, así que es recomendable instalarla tras la instalación del sistema, cuando aun está limpio, y luego valorar si las alteraciones de los ficheros han sido provocadas por nosotros o por acciones "no conocidas". Los comandos fundamentales son
su -c 'dnf install rkhunter' # instalación
su -c 'rkhunter --update' # actualización
su -c 'rkhunter -c' # o --check ejecución
su -c 'rkhunter --check --logfile /var/log/rkhunter.log' # si queremos guardar los resultados en un log para luego analizar

2. LYNIS - Desarrollado por el mismo programador que rkhunter, es nuevo para mi y no tengo experiencia. La versión en repositorios no es la última y no me gusta realizar la instalación desde git, así que no puedo actualizarlo adecuadamente. Los comandos son
su -c 'dnf install lynis' # instalación
su -c 'lynis update info' #actualización
su -c 'lynis audit system' # ejecución

3. CHKROOTKIT - una herramienta simple que detecta señales de rootkits
su -c 'dnf install chkrootkit'  # instalación
su -c 'chkrootkit -x' # ejecución. La opción -q solo nos da el informe final

Aunque he utilizado rkhunter y chkrootkit durante años, nunca he detectado malware en mi sistema, ni con ubuntu, ni debian ni fedora; aun así es recomendable tener  estas herramientas instaladas como un punto más de seguridad (o paranoia, pero ya sabemos que en seguridad, nunca se es suficientemente paranoico)

Irresponsabilidad e inseguridad

Bucenado en la red me he encontrado con algunas noticias que le dejan a uno frío, más que nada por la irresponsabilidad de algunas personas. Tanto en barrapunto como en el blog de Enrique Dans pude leer que los diputados españoles han "perdido" de 30 a 50 iPads. Y tan tranquilamente lo reconocen y piden unas "tablets" nuevas. Lo más importante no es que esas "tablets" las haya pagado el erario público, con dinero de los contribuyentes, y que los diputados sean unos irresponsables permitiendo que se estropeen o se pierdan. Eso es importante, pero solo relativamente. El problema es que todos nosotros en los móviles y en las "tablets" llevamos incluidas, para facilitar su uso, palabras clave, certificados, entradas a nuestras aplicaciones, conexiones seguras -solo mientras las tengamos nosotros- a nuestros bancos ..., y por ello solemos instalar aplicaciones para la localización de los dispositivos, por si nos faltan, y también para la destrucción del contenido, en el caso de que estemos seguros de que nos lo han robado. Pues estoy seguro de que como diputados ellos llevan cosas mucho más importantes, algunos incluso de seguridad nacional. Por favor, ¡tomémonos el trabajo en serio! Como es natural, estamos seguros que que Obama no ha perdido el maletín de los misiles en alguno de los aviones comerciales que ha usado en la campaña electoral. Pues lo mismo debe ser de los dispositivos de los representantes españoles, o al menos debería ser.
Colateralmente he estado leyendo las vulnerabilidades de los ordenadores. En The Inquirer encontré la noticia de que las aplicaciones de Oracle -Java- y Adobe -Flash- generaban la mayor parte de las vulnerabilidades de los ordenadores de escritorio y que los parches generados no eran eficaces. Creo muy instructivo leer la página original sin resúmenes donde se describen los resultados obtenidos por Kaspersky Labs. Podemos destacar que España entra entre el Top 20 de los países con mayor riesgo de infección (un "honroso" puesto 18, acompañada de Italia, 20), al lado de los países del antiguo telón de acero y algunos más africanos y asiáticos, sin querer despreciar a nadie.

Collusion: extension de Firefox

Collusion: con ella podrás ver al gran hermano sin mirar a la televisión. Nos permite ver quien nos está siguiendo, incluso a través de otros, según vamos navegando. La he instalado en mis ordenadores y ofrece información de seguimiento. Sin embargo, a partir de un determinado tiempo de navegación la información empieza a ser confusa. Sin embargo, no está mal instalarla. siempre puede dar un buen fondo de pantalla.

 

Para entender mejor como funciona, es recomendable pasarse por alt1040 y leer su artículo.

Exposiciones en público y contraseñas

Es muy recomendable al hacer exposiciones en público para enseñar la utilización de algunas herramientas que tengamos cuidado en que nuestras contraseñas no sean visibles por errores nuestros. Sin embargo, el otro día, debido a los automatismos con los que hacemos las cosas, una de mis contraseñas quedó al descubierto (un ordenador muy lento que no respondió a la tecla tab y el "escribidor" aquí presente muy rápido escribiendo la contraseña). Es algo que nunca me había pasado, ya que siempre he sido muy cuidadoso. Y encima era una de las contraseñas importantes. Por suerte, no es una de las repetidas, como es natural, ya que las importantes no se deben repetir. Eso me ha molestado sobremanera; primero, por dejar una contraseña al descubierto -¿qué pensarán? y/o inseguridad inmediata-; segundo, la he tenido que cambiar, claro, y habrá que entrenar los automatismos otra vez. A todos nosotros nos pasa a veces que nos olvidamos de las palabras y los pines, pero por suerte los dedos las recuerdan por nosotros.

Menos mal que nos teníamos Dropbox

Empecemos con una pequeña introducción o "Historia da Arte", como dicen los proyectos. Respecto a mi, son un individuo que trabaja mucho con la herramienta informática y en diferentes lugares, por lo que suelo tener al menos 3 ordenadores encendidos las 24 horas. A ellos les podemos sumar 2 más, un portatil y un netbook, que suelo utilizar solo en los desplazamientos de más de un día. La sincronización del trabajo en los 5 ordenadores la realizo a través de Dropbox, directamente en cuatro de ellos, en los que está instalado, o a través de la conexión a la página Dropbox en el netbook. Respecto al ambiente de trabajo, puedo decir que uno de los ordenadores está situado en un sitio donde la "estabilidad" energética es, digamos, "variable", por lo que dispone de un SAI que genera estabilidad y un cuarto de hora de mantenimiento sin alimentación externa.
Estado al día de ayer
En un momento determinado durante la mañana, en el despacho energéticamente inestable se produjo un estado de irregularidad que llevó al apagado de todos los equipos; el problema es que yo estaba en otro ordenador a kilómetros de distancia, trabajando con un documento en particular, protagonista de esta historia. Debido a alguna coincidencia estilo Murphy, debí guardar la versión final del fichero cuando se estaba apagando el otro PC; el resultado final fue un archivo de 0 bites, con lo que el trabajo de varios días se había perdido. En condiciones normales debería tener copia de seguridad, pero como trabajo directamente sobre Dropbox, no suelo copiar ese directorio, salvo en las copias mayores.
Resultado
Todo parecía indicar que habría que escribir de nuevo el documento (o pasar por tesseract los papeles impresos con las últimas correcciones que tenía en la mesa pero...
pero Dropbox conserva las versiones anteriores de los documentos, con lo cual restauré la última con el texto final y listo.

A pesar de los problemas de los últimos días y los posibles agujeros de seguridad, yo al menos puedo dar gracias a Dropbox. Estoy tentado de probar también Wuala y SpiderOak, por que en la variedad está el gusto, pero gracias de nuevo, Dropbox.

Sorpresa en el usuario administrador en Windows 7

Mi nuevo portatil Toshiba trae Windows 7 64bits. He instalado la mayor parte de las cosas sin problemas, incluido Firefox, con ese nombre extraño de Namoroka, pero cuando he instalado R (el paquete estadístico), me han empezado a aparecer diferentes problemas. Después de buscar en la red, resulta que hay que instalarlo como administrador; no como usuario con permisos de administrador (todos los de Windows), si no que como usuario administrador. Al contrario que en Windows 2000 y Windows XP, el usuario administrador está deshabilitado (de Vista que no me pregunte nadie, que solo lo usé dos o tres veces) y no sabía como activarlo. Hoy, ya decidido a instalarlo bien, encontré en la red estas instrucciones (que no se ofenda nadie, pero no me acuerdo de donde).
- Se llama al terminal de Windows, pero usándolo como administrador (ratón, derecha al escribir cmd)
- net user administrador /active:yes (¡ojo!, administrador, no administrator, como había leído yo en inglés, ya que si no no encuentra ese usuario en los Windows 7 en spanish, supongo, por que eso me dijo a mi)
Y listo. Pero la sorpresa mayúscula fue cuando arranqué como administrador y ... NO PIDIÓ PALABRA. Es decir, todos los usuarios entran bajo control, pero el administrador está sin seguridad; aquel que puede borrar todo el sistema deja la puerta abierta, las ventanas y la caja fuerte. Casi me da un ataque y fui rápidamente a Panel de Control y generé una palabra larga. En unos consejos de seguridad decía Klaus Knopper (sí, el autor de la distribución Knoppix de Linux) que un ordenador conectado a una red pública sin palabra de entrada para un login root puede ser hackeado en 42 segundos (Véase Konsultorio en Linux Magazine nº 59). Este es el nuevo supersistema ultraseguro de Microsoft.
Después de eso instalé inmediatamente Ubuntu en una partición, pero como el uso del ordenador es para más personas, no he podido eliminar tal engendro. Después, he instalado R en Windows como administrador (y con palabra) y cometí el error de decirle luego que instalara todos los paquetes.  Comenzó a las 11 de la mañana y al terminar de trabajar a las 20 horas aun estaba en ello, así que lo dejé en el despacho bajando y bajando paquetes (cientos). Con suerte estará mañana, y para asegurarme le he quitado la suspensión a los 15 minutos.
Colateralmente he descubierto que Ubuntu 10.04 no ha instalado correctamente el audio en mi ordenador de trabajo. Nunca me doy cuenta, por que suelo tener unos cascos conectados a los altavoces para evitar los ruidos no solicitados, asi que he tardado una semana en ser consciente del error. Ahora ando algo apretado de tiempo, pero luego veré que posible arreglo hay, o si no lo instalo todo limpio (se había instalado sobre un disco con sistema instalado y home).

¿Explorer?, ¿cómo se usa esto? Dale al F1

En los últimos días, para mi desgracia, he tenido que utilizar Explorer varias veces. En primer lugar, para instalar mi certificado digital en una máquina virtual (necesidades del guión). En segundo lugar, me ha tocado a mi en un tribunal ser el encargado de controlar el nivel de calidad de las revistas aportadas por los concursantes; me he sentado y ... el ordenador solo tenía Explorer. He tardado varios minutos en saber a que teclas tenía que darle y como se usaba "ese navegador". La verdad, en toda mi vida usando la red, como unos 15-16 años, desde que nos la ofreció la Universidad, jamás había usado Explores más de 5 minutos (que tiempos aquellos con Netscape; también había usado anteriormente Mosaic, creo recordar, en una estancia de investigación en el INRA francés). Sin embargo, de manera sorprendente, la gente se rio de mi, como si fuera un bicho raro. Todos los días estamos diciendo la inseguridad del uso de Explorer, y nadie nos hace caso. Menos mal que no le di a F1, pues como muestra vale un botón, o mejor dicho, en este caso, una tecla, la F1. En Linux Hispano, que toma como fuente la muy poco sospechosa de conspiración (consigo misma, claro, que frente a los demás está todo el día) Microsoft, describen la inseguridad que supone el uso de Explorer y presionar esa tecla "salvadora" y de "ayuda". Esperemos que algunos aprendan. A mi, personalmente, me da igual que arreglen o no el bug de la tecla F1; no pienso usar Explorer salvo en estas situaciones tan "especiales". El resto del mundo (sobre el 64% -via Wikipedia-; otros dicen que el 90% -via ComputerWorld-, y alguno llega hasta el 92% -via Marketshare-), no tiene solución. Si estuvieran preocupados por la seguridad en informática, lo último que haría sería tener Windows en su ordenador, así que ¿quién está preocupado?, si todos pagan por tener una inseguridad instalada.
Teniendo en cuenta estas costumbres de la gente, si se cobrara por lo virus y los troyanos, seguro que se vendían por millones. Pero si de hecho ya se venden y le llaman sistema operativo.
1. Troyano (definición via Wiki): software malicioso que bajo una apariencia inofensiva se ejecuta de manera oculta en el sistema y permite el acceso remoto de un usuario no autorizado al sistema.
2. Microsoft (ver aquí): "Microsoft® Online Services Global Criminal Compliance Handbook es el último descubrimiento de Cryptonome y es, básicamente, el conjunto de políticas y lineamientos de información que Microsoft guarda de tus movimientos en sus servers y que comparte con las autoridades".
Es decir, este sistema operativo se comporta como software malicioso, que bajo una apariencia inofensiva, aunque cara, se ejecuta de forma oculta al usuario que lo ha pagado (o no, que los hay piratas), y se permite un acceso remoto no autorizado en información personal. No hay mucha diferencia, ¿a que no?

Los problemas de seguridad en las redes sociales

He asistido ayer a una conferencia impartida por un Teniente-Coronel de la Guardía Civil especializado en la seguridad en la red, redes sociales y menores. La verdad es que ha sido muy instructiva. Agradezco que alguien me haya señalado y puesto delante los verdaderos riesgos riesgos de la red. No es que no supiera mucha de esa informacióm, pero verla agrupada, bien dividida, señalando los puntos más importantes me ha resultado muy esclarecedor. ¿De qué?  De cuanta porquería hay suelta en el mundo.

Seguridad y responsabilidad

Ayer, al terminar mi trabajo, revisé la pestaña de Conexiones bloqueadas por Firestarter, antes de limpiarlas. Sorprendentemente vi una serie de ataques constantes y combinados de 3 ordenadores cercanos al mío (IPs similares). Empecé a contar y me di cuenta que de manera repetida los mismos ordenadores atacaban simultáneamente a un puerto, supongo que de manera aleatoria, pero los tres al mismo tres veces cada uno, y cada 12 minutos y 30 segundos, aproximadamente, se repetía el ataque a otro puerto y así de manera repetida hasta las 19:45, hora en que la gente suele prepararse para salir (por ejemplo apagando los ordenadores). Hoy me he dado la molestia de ir detectando que ordenadores eran y los tres estaban en el mismo Pabellón y planta que yo. Inmediatamente avisé a las personas que trabajaban con ellos y les dije que probablemente un troyano está controlando su ordenador y lanzando ataques contra el mío. En el primero, que pertenece al conjunto de ordenadores que usa el profesorado, más abierto a la red, estaba instalado Avira y Spybot, pero como decía su usuario, llevaba varios días que el Avira no s epodía actualizar; respecto a Spybot, ni sabía lo que era (seguramente ya lo había instalado yo en algún problema anterior) ni que había que actualizarlo, ni que era ese icono de TeaTimer. Una vez actualizado y revisado varias veces, se detectaron 7 problemas graves que se pudieron eliminar. El segundo, perteneciente al mismo grupo de ordenadores de docencia, tiene Avira pero no Spybot. Instalado y actualizado, aparecen 32 problemas graves en múltiples localizaciones; con más trabajo fueron también presumiblemente eliminadas. El tercero, que es de gestión, dispone de Norman (disponible oficialmente en nuestra Universidad) y ningún antimalware. Instalado Spybot y actualizado, aparecen solo 2 (estas dos aparecen el los 3 ordenadores) que también son eliminados (esperemos). El problema es el siguiente; 3 personas, que usan esos ordenadores alrededor de 8 horas al día, no tienen ni quieren tener interés en conocer algunos de los peligros de sus ordenadores. La información disponible en esos ordenadores, suya o de otros, puede estar en riesgo. Sus números de cuenta, de tarjetas de crédito, certificados digitales, datos de profesores y alumnos pueden estar al alcance de las personas que lanzan estos ataques indiscriminados, hasta que aciertan con ordenadores sin suficiente protección. El riesgo cero no existe, pero DEBEMOS poner desde nuestra parte todo lo que podamos para evitar estas debilidades. Sí, el ordenador es una herramienta, pero no es solo un martillo o un lápiz, por que un ordenador gestiona y almacena información. La información valiosa se guarda bajo llave, e incluso cuando usamos herramientas como martillos tenemos cuidado y no los dejamos por ahí para evitar que nos los lleven. Para usar el coche hay que tener carnet de conducir; quizás debieramos pensar si debemos sacar un cierto carnet para utilizar ordenadores conectados a la red; ya que no es así, debemos poner un poco de responsabilidad en su uso.

SAI

Estos días hemos puesto a "casi" todos los ordenadores SAIs (sistemas de alimentación ininterrumpida). Yo siempre he dispuesto de uno en mi ordenador, y en mi casa todos los ordenadores dispones de uno. Pero los compañeros de trabajo nunca han pensado que sea importante, hasta que la semana pasada se fue la luz de forma generalizada y por un periodo bastante largo. Entonces le han visto las orejas al lobo y se han comprado 5 de golpe para llegar a un total de 7. Los otros dos son los de mi ordenador y otro que tenía yo antes. Por supuesto, aun hay gente que opina que realmente no es necesario, pero según mi opinión, teniendo en cuenta que en nuestro edificio, con pocas líneas y con sobrecarga, donde la luz salta 3 o 4 veces a la semana y siempre hay sobretensiones, son muy necesarios. De hecho, estoy convencido de que la razón de que se hayan estropeado tantos ordenadores en los últimos dos meses radica en las sobretensiones que sufren. Como es natural, 5 de golpe es un gasto considerable, así que hemos tenido que adquirir APC (que menos, no vamos a ir a marcas raras de características "discutibles"), pero modelo 500, no 650. Aun así deberíamos haber puesto 6 (por que hay 6 ordenadores nuevos que lo necesitaban), pero no hay para más. Uno (el de los becarios, que casualidad) se ha quedado sin SAI. Si me conceden un proyecto y puedo cambiar mi máquina, incluiré un SAI y así tendremos 8 ordenadores cubiertos (y nueve descubiertos). Sí, los estuve contando el otro día y son 17. Que épocas aquellas en que teníamos un solo ordenador para todos, pero eso es otra historia.

Estos tíos del Windows

Ya sé, ya sé que no se debe uno pasar y que hay que tratar a los usuarios de Windows como si fueran personas normales, decentes y respetables, pero a veces cuesta. Un compañero mío, un usuario de Ubuntu y Windows ayuda a un compañero, usuario puro de Windows, a instalar un lector de tarjetas para usar el certificado digital del DNI. Y ¿qué se encuentra además de la instalación del lector? Que el antivirus no está actualizado. Sí, se actualiza automáticamente, pero pedía una actualización de versión, sin hacer. Y una vez puestos, revisamos Spybot, y también estaba sin actualizar. No quisiera parecer pesado, pero sobreviven por casualidad (los ordenadores, por que los datos los deben perder de forma habitual). Menos mal que el Firewall (Comodo) se las arregla solito.

PD. Aunque visto todos los agujeros y vulnerabilidades que tiene Windows 7, para que preocuparse; de todas todas, estás perdido