Android está de moda, el Sistema Operativo para dispositivos móviles impulsado por Google ya lleva varios códigos maliciosos que se han propagado a causa de vulnerabilidades en Adobe Flash, iTune. A pesar de que vulnerabilidades de tercero complican la seguridad de Andriod, el kernel del Sistema Operativo es el más cotizado por cibercriminales. Todo empezó en agosto del 2009 cuando se supo que en Rusia un troyano tenia por tarea enviar SMS indiscriminadamente a números con tarificación especial. Hace unos días se dio a conocer que una aplicación troyanizada estaba disponible en Android market, se trata de una aplicación disfrazada del juego de la víbora (Tap Snake). Este troyano que puede obtener información sobre nuestra ubicación geográfica usando tecnología GPS. Es decir, nos pueden hacer un seguimiento de la ubicación física del teléfono móvil.

Una vez instalado el juego, éste se registra en una aplicación Web en Google (App Engine) donde cada 15 minutos enviará los datos de la posición GPS a dicha aplicación. El atacante necesita instalar una aplicación GPS Spy en el cliente para poder espiar a la víctima.

Es muy fácil darnos cuenta si hemos sido víctima de este troyano, ¿cómo?...por las solicitudes que nos pide la aplicación como ser: ¿Desea acceder a la ubicación?, ¿Desea acceder a internet?. Otro síntoma clave es que parpadea el icono del satélite GPS cuando abrimos el juego. Un usuario experimentado, se podría dar cuenta de que se trata de una aplicación maliciosa, pero ¿un usuario corriente?. Lo cierto es que Andriod está en el ojo de la tormenta y mientras siga así los usuarios comunes seguirán a expensas de tener graves problemas a causa de malware mal intencionado.

Fuentes:

http://blog.segu-info.com.ar/2010/09/estudio-troyano-tap-snake-de-android.html#axzz111UyJwLb

http://www.hispasec.com/laboratorio/Troyano_android_tab_snake.pdf

http://gpsdatapoints.appspot.com/addPoint

http://www.adobe.com/support/security/advisories/apsa10-03.html

Cyveillance es una compañía consultora ha publicado un informe en el que se concluye algo que los porcentajes de detección de los antivirus son bajos. Cyveillance afirma que muchas marcas de AV detectan por firmas el 19% del malware "fresco" mientras que pasado un mes, sube al 61.7%. Trend Micro entre otras marcas de AV, sostiene que este estudio está incompleto y que se presta a malas interpretaciones.

En agosto del presente año, Cyveillance recopiló 1.708 binarios reconocidos como malware por al menos tres antivirus de los 13 contemplados en el estudio. Estos binarios eran archivos recolectados en los tres últimos días por la empresa con sus propios métodos. Analizó los archivos cada 6 horas durante 30 días con los 13 motores. La media de detección iba desde el 19% del día 1, hasta el 61.7% el día 30.

Las siguientes puntualizaciones han sido realizada en base a nuestra experiencia con el objetivo de visualizar hasta qué punto es cierto lo afirmado por Cyveillance.

(1)   El hecho de que tres motores detecten un binario no es definitivo para concluir que deba ser reconocido por las demás firmas de AV..

(2)   Aunque el informe no especifica explícitamente que se haya realizado el estudio de esta forma, todo apunta a que así se ha hecho

(3)   Hace más de 1 año que casi todas las marcas de AV usan nuevas tecnologías. Trend Micro es pionero en hablar de tecnología “in the cloud”, es decir tecnología  basada en heurística, reputación de archivos, de URLs, de dominios que están reforzando a la detección de malware basada en firmas.

(4)   No es posible hoy en día evaluar la capacidad de un producto sólo por una de sus funciones. Si se quiere evaluar la calidad y cantidad de firmas, se debe ser consciente de que eso es sólo una parte del producto.

(5)   ¿Son 1.708 binarios suficientes? No sabemos la naturaleza de los binarios. Por ejemplo, sabemos que las marcas de AV tienen serios problemas para detectar los "rogueware" (falsos antivirus). Pueden pasar semanas hasta que algún motor los detecta por firmas.

(6)   Un laboratorio de antivirus puede recibir cada día más de mil nuevas muestras de malware para las que no disponen de firma de detección específica. Con todas sus ventajas e inconvenientes, solo las muestras muy relevantes o nuevas pasan a ser analizadas manualmente. Tras 30 días, la media suba del 19 a algo más del 61% de detección por firmas, es incluso un buen trabajo.

(7)   Gran parte de contar con una buena protección es producto de tener políticas de seguridad proactivas (parchado automático, revisión de logs, campañas para crear conciencia en los usuarios finales, análisis de navegación, etc)

(8)   Es cierto que el usuario medio suele ser víctima del marketing de las casas antivirus, y creen que la suite les salvará de todo mal. Slogans como "Protección total" o "Blindaje del sistema" calan en el usuario que concluye que realmente es lo único que necesita.

(9)   Estadísticas como la de Cyveillance, puede ayudar a desterrar esa idea aunque, por otro lado, también pueden llegar a polarizan la opinión: "¿A pesar del dinero invertido en la solución antimalware, no estoy protegido por completo?" o "Las soluciones antimalware no sirven para nada". Ninguna de las dos posiciones es adecuada.

(10) Las soluciones antivirus son imprescindibles, pero es necesario combinarlas con un soporte tanto local como desde fabrica.

Fuente:

http://www.cyveillance.com/web/forms/request_thanks.asp?fileName=/web/docs/WP_MalwareDetectionRates.pdf

http://seguinfo.wordpress.com/category/informes