Entrevista a Sergio de los Santos el hacker del «Malware Moderno» que explica el porqué de la evolución de la industria de seguridad informática

Figura 1: Entrevista a Sergio de los Santos el hacker del

«Malware Moderno» que explica el porqué de la evolución

de la industria de seguridad informática.

.

Figura 2: «Malware moderno: Técnicas avanzadas y su influencia en la industria«

de Sergio de los Santos en  0xWord

Figura 3: Contactar con Sergio de los Santos

Desde hace muchos años quería escribir un libro sobre malware. El problema era que los libros sobre reversing y análisis son muchos, variados y, en algunos aspectos, insuperables. Los libros sobre la historia de malware son más escasos, pero creo que «Una al día: 16 años de seguridad informática» (y sus diferentes ediciones de 2008 a 2014), ya abordaba ese enfoque. ¿Qué podía aportar entonces? Llevaba dándole vueltas mucho tiempo. 

El tiempo pasaba y las mejoras en la industria se sucedían. Creo que desde 2013 el avance ha sido espectacular en muchos aspectos, sobre todo para los que sufrimos la seguridad informática entre finales de los noventa y primeros 2000. El caos estaba dejando paso al orden, aunque no lo parezca. ¿Por qué? ¿Qué había impulsado esa mejora? ¿Cómo de repente se vivía una colaboración en la industria tanto técnica como legislativamente? ¿Qué estaba ocurriendo para que “de repente” los buenos se pusieran las pilas?

Figura 4: Una al día – 16 años de seguridad informática de Sergio de los Santos en  0xWord

Fue entonces cuando se me ocurrió que buena parte de ese impulso venían de que los malos habían disfrutado de una posición ganadora desde hacía demasiado tiempo. De que a medida que la sociedad se incorporaba a Internet, estábamos a punto de perder la batalla digital. Que el malware era el culpable y, en cierta forma, también el responsable de le mejora. 

Decidí no enfocar el libro como la historia del malware solamente, sino entendiendo cómo había impactado en la industria y por tanto, ayudado a mejorarla. Entonces descubrí por qué el sistema operativo es cómo es, por qué Windows hace lo que hace y lo hace de esa forma. Por qué las redes funcionan así, por qué existen estas medidas de seguridad para el usuario y por qué algunas son más populares que otras. Por qué los antivirus actuales no son lo mismo que hace 20 años… Un mundo que me resultó apasionante para comprender tanto la historia como la técnica, pero sin céntrame en estos dos aspectos solamente.

Que cometemos la mayoría de las veces los mismos errores. Que “todo está inventado” pero se repite con ligeras diferencias. Que el que no conoce el pasado está condenado a repetirlo. Que vivimos en una industria algo cortoplacista. Que tenemos muchos prejuicios en torno a la tecnología porque aunque tenemos mala memoria en general para la historia, los eslóganes y el marketing se nos graban a fuego en la memoria. 

Figura 5: Marrón Cobalto, una novela de ficción  

de Sergio de los Santos.

Una vez asimilados, asociamos esos mantras para siempre a ciertos tecnologías, aunque cambien de manos, sean diferentes o hayan sido mejorados considerablemente. La historia del malware es la historia de los sistemas operativos. De internet y de la digitalización en general.

Una que creo que reúne todas las condiciones para desvelar falta de rigor en todos los campos es la de Bi.A. En 2006, Linus Torvalds, según los medios, “ordenó parchear el kernel para poder infectarse por un virus multiplataforma que ya atacaba a Windows”. ¿Un poco loco, no? Bi.A (abril de 2006) era una “prueba inofensiva” que se supone infectaba a binarios de Windows y Linux. El primero en analizar la muestra (y «rebajar el riesgo») fue NewsForge. Advirtieron que no se podía replicar (sin mucha más explicación). Esto ayudó a difundir la idea en los medios de que no era un virus real. Y no era mentira, no se replicaba… solo que hicieron las pruebas incompletas.

Probaron el virus solamente en Windows y luego en un Ubuntu con un kernel muy concreto. Efectivamente no se podía replicar ahí, no mintieron. Salvo por el hecho de que sí que se replicaba y funcionaba como un virus tradicional en todos los núcleos justo anteriores a esa versión. El caso es que el virus se creó en ensamblador, no en C (lo habitual). El autor asumió que al llamar a “sys_ftruncate”, el valor del registro EBX que se pasa como parámetro se mantendría. Por tanto, al llamar más tarde a “old_nmap” podría reutilizar EBX con ese mismo valor. Pero no. La llamada a “sys_ftruncate” destruía el valor de EBX en ese kernel concreto y el autor no se dio cuenta porque no usó ese kernel. Así que la replicación funcionaba bien en todos menos ese. Pero lo normal es que se respete el valor de EBX. No fue un descuido del autor. ¿A quién culpar?
Pues al propio kernel. Tuvo que pasar algún tiempo hasta que alguien diera una explicación. Se concluía que el kernel bajo el que NewsForge hizo las pruebas no se comportaba como el resto. Destruir el valor de EBX tras una llamada a función no era un comportamiento deseado.

Linus Torvalds aceptó el fallo (sí, llamó “fallo” a lo que impedía la difusión del virus) y quiso corregirlo. Sys_ftruncate o cualquier otra función debía preservar el contenido del registro EBX. La única versión del kernel que no lo hacía era con la que habían probado el virus porque ese kernel fue la primera versión compilada con gcc y el parámetro mregparm=3 y esto causaba el fallo. Si el virus hubiera sido escrito en C directamente o sin ese parámetro, el compilador hubiera hecho bien su trabajo y la autorreplicación hubiese funcionado.

¿Qué hicieron los medios de comunicación que no entendieron nada de esto? Titular con tonterías. Lo más acertado hubiera sido algo como: “La creación de un virus directamente en ensamblador permite detectar un fallo en la compilación del kernel Linux”. Pero en cambio hablaron de que el kernel se había modificado para facilitar la propagación de virus.

Esto da que pensar sobre la complejidad de trasladar a la realidad algo puramente técnico sin que se distorsione el mensaje, y por tanto, cuánto no entendemos de la ciberseguridad, tanto a nivel técnico como social.
¿Crees que el malware impacta ya no solo en los sistemas, sino en la sociedad?

Sin duda. La línea de división entre nuestra vida “física” y “digital” no existe. Lo que nos pasa en cualquier dispositivo impacta de manera directa en nuestra rutina. Un incidente con malware puede ser equivalente o peor que un incendio o un robo en nuestra casa. Y esto no es nada. Los ataques a suministros fundamentales no son ya una simple amenaza sino una realidad posible y probable. El malware no es más que la manifestación técnica de un arma y se usará para atacar. Y ahí fuera hay tanto ladrones dispuestos a robarte la cartera como locos o naciones que no dudarán en envenenar el sistema de agua potable de un país. Con la “softwarización” del mundo, han cambiado las herramientas, no las amenazas ni la naturaleza humana.

Windows 10 tiene más características de seguridad para combatir el malware que cualquier sistema operativo. No, no he dicho que sea el más seguro. Pero sí dispone de herramientas para defenderse bien. Windows 10 no es XP. La lectura a fondo de cualquier “write up” que permita aprovechar una vulnerabilidad en Windows te da una idea de la enorme cantidad de problemas que debe sortear el investigador. Y con cada una de ellas, el sistema mejora.

Figura 7: Máxima Seguridad en Windows Gold Edition de Sergio de los Santos en 0xWord.

El malware ha evolucionado para atacar con éxito este sistema operativo de una forma implacable y furibunda. Y como se suelde decir “la calidad de tu enemigo te define”. La complejidad que está alcanzando el sistema tanto por sí mismo como por las herramientas de terceros que le permiten monitorizar y detectar ataques, está consiguiendo que los atacantes profesionales (sobre todo las bandas de ransomware) estudien entrar ya por servidores Linux y estén portando sus herramientas. No es que sean más o menos seguros, es que todos los ojos están en Windows, mientras que se nos ha olvidado que existen otros sistemas operativos tan susceptibles de ser un objetivo como cualquier otro y no ha incorporado por igual herramientas para su defensa ante el malware y la monitorización.