Bienvenidos al complejo industrial del malware

(Crédito: iStockphoto)

El gobierno de los Estados Unidos de Norte América está desarrollando nuevas armas de computación y encabeza un mercado negro en detección de vulnerabilidades de software. El resultado podría ser una web más peligrosa para todos, dice MIT Technology Review.

Un agujero de seguridad recientemente descubierto en un software muy popular es conocido en el comercio como vulnerabilidad “día-cero” (se le conoce así debido a que el productor del software no ha tenido tiempo de desarrollar un parche o eliminar la vulnerabilidad), y puede significar mucho dinero. La información relacionada con esas fallas y defectos lleva los precios a cientos de miles de dólares para contratistas de defensa, agencias de seguridad y gobiernos.

Este comercio de fallas y exploits “día-cero” está malamente documentado, pero es quizá la parte más visible de una nueva industria que en los siguientes años absorberá sin duda porciones cada vez mayores de los presupuestos de defensa, remodelará las relaciones internacionales y quizá haga la web menos segura para todos.

Las vulnerabilidades día-cero son valiosas debido a que pueden ser utilizadas para instalar furtivamente software en un sistema de computación sin la detección convencional de las medidas de seguridad, tales como paquetes de antivirus y firewalls. Este tipo de vulnerabilidades puede servir para interceptar información de tarjetas de crédito, por ejemplo. Una agencia de inteligencia o fuerza militar podría interceptar comunicaciones diplomáticas o incluso inutilizar plantas de poder.

Se hizo claro que este tipo de ataques redefiniría un nuevo tipo de guerra en el 2010, cuando investigadores de seguridad descubrieron un software malicioso, o malware, conocido como Stuxnet. Actualmente se cree que Stuxnet fue un proyecto combinado impulsado por la inteligencia norteamericana e israelita. Stuxnet fue cuidadosamente diseñado para infectar varios sistemas requeridos para obtener el acceso y control de equipo industrial utilizado en el programa nuclear de Irán. Este proyecto fue claramente el trabajo de un grupo con acceso a recursos gubernamentales e inteligencia, y fue posible por el descubrimiento de cuatro vulnerabilidades día-cero en Windows,  que permitieron silenciosamente infectar las computadoras elegidas. El hecho de que muchos exploits día-cero fueran utilizados en Stuxnet fue una de sus características principales.

Más información aquí.