Charla impartida por Sergio de los Santos en el IV Curso de Verano de Seguridad Informática de la Universidad Europea de Madrid.

1. Botnets de ayer, hoy y siempre...

2. Sergio de los Santos
Coordinador de S.O.C. de Hispasec
ssantos@hispasec.com
Hispasec Sistemas S.L.
Avda Juan López Peñalver, 17
Edificio Centro de Empresas CEPTA, planta 3. Telf: (+34) 902 161 025
Parque Tecnológico de Andalucía
29590 Campanillas (Málaga) Telf: (+34) 952 020 494
España Fax: (+34) 952 02 86 94

3. ¿Qué sabemos del malware?

4. ¿Qué sabemos del malware?

5. ¿Qué sabemos del malware?

6. El malware, antiguamente…

7. El malware, hoy…

8. El malware, motivaciones…

9. El malware, motivaciones…

10. El malware, motivaciones…
Qué hay que mejorar: Distribución

11. El malware, motivaciones…
Qué hay que mejorar: Distribución en el tiempo

12. El malware, motivaciones…
Qué hay que mejorar: Gestión de recursos

13. El malware, motivaciones…
Qué hay que mejorar: Métodos de distribución

14. El malware, motivaciones…
Qué hay que mejorar: Pasar inadvertidos

15. El malware, motivaciones…
Qué hay que mejorar: Modularidad

16. Botnets de ayer, hoy y siempre

17. Botnets de ayer, hoy y siempre
Fuente: Damballa.com Top 10 Botnet Threat Report – 2010.

18. Botnets de ayer, hoy y siempre
Fuente: Damballa.com Top 10 Botnet Threat Report – 2010.

19. Botnets de ayer, hoy y siempre
Fuente: Damballa.com Top 10 Botnet Threat Report – 2010.

20. Botnets de ayer, hoy y siempre
BOTNETS: Tipos
RATS (remote administration tool)
Un puerto abierto esperando instrucciones en la máquina víctima.

21. Botnets de ayer, hoy y siempre
BOTNETS: Tipos
RATS (remote administration tool)
Un puerto abierto esperando instrucciones en la máquina víctima.

22. Botnets de ayer, hoy y siempre
BOTNETS: Tipos
RATS (remote administration tool)
Un puerto abierto esperando instrucciones en la máquina víctima.

23. Botnets de ayer, hoy y siempre
BOTNETS: Evolución
Troyano “tradicional”
Un puerto abierto esperando instrucciones en la máquina víctima. No permitía al atacante gestionar
de forma cómoda a muchos infectados.
IRC
Los infectados caen en una sala y se les mandan comandos. Gestión cómoda.
HTTP
El mundo se mueve en torno a la web. Paneles de control cómodos y centralizados.
Kits del tipo “Do it yourself”
Web 2.0
P2P
Twitter
En los últimos tiempos, se habla de botnets tanto a los paneles de control (gestión) como a los kits de
creación y gestión.

24. El malware, lo mejor de cada casa…
BOTNETS: IRC

25. El malware, lo mejor de cada casa…
BOTNETS: IRC

26. El malware, lo mejor de cada casa…
BOTNETS:
Mpack

27. Botnets de ayer, hoy y siempre
BOTNETS: Firepack

28. Botnets de ayer, hoy y siempre
BOTNETS: Sudamericanas

29. Botnets de ayer, hoy y siempre
BOTNETS:
Koobface

30. Botnets de ayer, hoy y siempre
BOTNETS:
Koobface

31. Botnets de ayer, hoy y siempre
BOTNETS:
TwitterNet

32. Botnets de ayer, hoy y siempre
BOTNETS:
Zeus: Líneas de negocio
Venta del kit en sí
Zeus is a trojan, a modular kit, and for sale: The asking price varies, seeming to average around
$700. Security experts at RSA’s Anti-Fraud Command Center have detected hundreds of different
variants of the Zeus Trojan kit, each version capable of infecting thousands of computers every day.
Does not have the right to distribute the product in any
business or commercial purposes not connected with this
sale.
May not disassemble / study the binary code of the bot
builder.
Has no right to use the control panel as a means to control
other bot nets or use it for any other purpose.
Does not have the right to deliberately send any portion of
the product to anti-virus companies and other such
institutions.
Commits to give the seller a fee for any update to the
product that is not connected with errors in the work, as
well as for adding additional functionality.

33. Botnets de ayer, hoy y siempre
BOTNETS:
Zeus: Líneas de negocio
Alquiler de uso
"Fraudsters who execute Zeus attacks simply need to take control of a compromised server or have
their own back-end servers; once they have a server in place, they merely need to install the Zeus
administration panel, create a user name and password, and start launching their attacks.

34. Botnets de ayer, hoy y siempre
BOTNETS:
Zeus: Líneas de negocio
Venta de
datos robados.

35. Botnets de ayer, hoy y siempre
BOTNETS:
Zeus: Líneas de negocio
Negocio alrededor
Vulnerabilidades para infectar
Spameo a cuentas
Venta del código fuente

36. Botnets de ayer, hoy y siempre
BOTNETS:
Zeus

37. Botnets de ayer, hoy y siempre
BOTNETS:
SpyEye

38. Botnets de ayer, hoy y siempre
BOTNETS:
SpyEye

39. Botnets de ayer, hoy y siempre
BOTNETS:
Didácticas

40. Botnets de ayer, hoy y siempre
BOTNETS:
Didácticas

41. Botnets de ayer, hoy y siempre
BOTNETS:
En móviles

42. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

43. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

44. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

45. Antivirus
Los antivirus son UNA HERRAMIENTA MÁS
La protección contra el malware se consigue:
No administrador
Actualizar el sistema
Actualizar los programas
Mantenerse informado
Otras opciones de seguridad
Seguridad razonable

46. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

47. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

48. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

49. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

50. Botnets de ayer, hoy y siempre
Antivirus
Sólo funcionan si se entiende qué función desempeñan en un sistema.
• Su verdadero nombre debería ser: “detector de cierto tipo de malware”, pero queda “feo” a la
hora de vender.

51. Botnets de ayer, hoy y siempre

52. Botnets de ayer, hoy y siempre

53. Botnets de ayer, hoy y siempre

54. Hispasec