El día 18 de diciembre Websense publicaba en su blog lo que podría ser
motivo de una noticia de alcance: se había detectado un nuevo gusano
que se propagaba a través del popular programa Skype. Si bien llamó la
atención de muchos, el troyano (lo que era en realidad) ha resultado
una vez más una “falsa alarma” pues sus características son comunes y
su propagación extremadamente limitada.
Websense Security Labs dio la voz de alarma, parecía que un nuevo gusano
se estaba propagando a través de Skype, infectando a los usuarios del
programa de forma exponencial. Al día siguiente rectificó, y calificó
al malware de “troyano” que además descargaba nuevos componentes desde
una página web con el fin de robar contraseñas.
Finalmente, tras unos días de confusión donde se ha calificado todo el
asunto de pura exageración, F-Secure venía a poner un poco de orden
aclarando las claves que pueden determinar efectivamente si una amenaza
merece ser tenida en cuenta y alertar de forma responsable.
F-Secure afirmaba que no nos encontrábamos, ni mucho menos, ante un caso
de infección masiva. Al contrario de lo que se barajó en un principio,
no se trataba de un gusano que aprovechaba una vulnerabilidad en
Skype, sino de simples mensajes de chat que pedían al usuario descargar
y ejecutar el troyano. Para colmo, se habían confundido en algunos
medios dos alertas distintas. Una se conocía desde principios de octubre
y otra, de la que hablaba Websense, se trataba de un archivo sp.exe
infectado. Aunque en ningún momento se advierte, se presupone que el
ejecutable infectaría (aunque de una forma burda y consentida) sólo a
usuarios Skype bajo Windows.
Parece que el error de Websense fue adjudicar la característica de
“gusano” al malware detectado. Calificarlo como tal implica cierta
automatización en la replicación, habitualmente aprovechando una
vulnerabilidad del software sobre el que se propaga. El hecho de que
finalmente se trate de un “simple” troyano libera en gran parte la
responsabilidad de Skype y apunta directamente contra el hipotético
usuario descuidado que acepte un archivo desconocido y lo ejecute.
Recuerda en cierta manera este asunto al malware Oomp-A para Mac,
detectado en febrero. Ooomp aprovechaba la lista de contactos de iChat
para enviarse a sí mismo e intentar contagiar a otros usuarios. Su único
mérito era intentar infectar sistemas tan poco atacados hasta ahora como
Mac OS X, aunque igualmente dio bastante que hablar sobre la seguridad
del sistema operativo.
La única novedad, por tanto, es que el troyano puede llegar por Skype e
infectaría a usuarios de Windows, pero para que esto ocurra, el usuario
debe prácticamente consentir la ejecución.
Si bien una noticia sobre un virus puede provocar alarma, que se hable
de una muestra de malware no siempre significa que se haga porque haya
provocado una crisis. Puede llamar la atención por distintas
características: desde el nombre (recordemos el inofensivo kama sutra),
el mensaje que lanza, las plataformas que infecta… En este caso, al
valerse de un popular programa basado en VoIP para esparcirse, este
troyano ha captado la atención de los medios y ahí comienza la
confusión. Una característica peculiar no tiene por qué ir unido a una
infección masiva. Y es que hoy en día quedan realmente pocas crisis
víricas (al menos provocadas por una misma muestra) de las que hablar.
Aunque la alerta ante la amenaza haya sido exagerada, no está de más
recordar que ningún software es invulnerable y que una amenaza seria
y real de este tipo podría darse en un futuro.
ssantos@hispasec.com
Más información:
Potential Skype worm propagating.
http://www.websense.com/securitylabs/blog/blog.php?BlogID=101
Skype Worm complete FUD
http://beyondthebleedingedge.blogspot.com/2006/12/skype-worm-complete-fud.html
Skype Worm
http://www.f-secure.com/weblog/archives/archive-122006.html#00001054
Deja un comentario