10 formas de evitar virus y spyware

Para tener una oportunidad de luchar contra las amenazas actuales a la seguridad, los usuarios finales deben estar informados y ser proactivos. Éstas son algunas pautas prácticas que pueden seguir para minimizar el riesgo de infección y ataque.

La cubierta está apilada. No pienses ni por un minuto que no lo es. Como profesional de la tecnología responsable de proteger las redes de oficina, estaciones de trabajo y servidores de virus, spyware, adware, troyanos y otras infecciones de malware, puedo decirle que la situación está empeorando.

Un informe de Computer Economics mostró que los gastos anuales de malware a nivel mundial aumentaron en 10.000 millones de dólares (hasta 13.000 millones de dólares) en un lapso de 10 años. Google Research sugiere que uno de cada 10 sitios web está infectado con malware "sin conexión". En junio de 2009, el boletín electrónico de Windows Secrets informó que sitios web aparentemente seguros como Coldwell Banker. com, Variety. com e incluso Tennis. com estaban exponiendo a los visitantes de Internet Explorer a la hazaña de Gumblar, que amenaza con comprometer los sistemas de los visitantes para propagarse.

Los profesionales de TI deben animar a sus usuarios a para evitar virus seguir varias prácticas de seguridad para minimizar la exposición a virus, spyware y malware. Pero muchos técnicos de computación están demasiado ocupados para correr la voz, o no tienen el tiempo para construir un memorándum o folleto apropiado.

Con esto en mente, he aquí una lista de referencia práctica de 10 pasos que los usuarios finales pueden adoptar para evitar infecciones (incluyendo cuando utilizan los sistemas domésticos para leer y enviar correo electrónico de trabajo, crear, editar y distribuir documentos y hojas de cálculo, acceder a la VPN corporativa y realizar otras tareas de oficina). Publique esta lista en su Intranet, distribúyala en un correo electrónico o descargue la versión PDF y pásela a los usuarios finales. Asegúrate de que se corra la voz. De lo contrario, es probable que pierda un valioso tiempo limpiando y reparando sistemas infectados o redes enteras.

1: Instalar antivirus de calidad
Muchos usuarios de computadoras creen que las aplicaciones antivirus gratuitas, como las incluidas en la oferta de servicios de un proveedor de servicio de Internet, son suficientes para proteger un equipo contra virus o infección de spyware. Sin embargo, estos programas antimalware gratuitos no suelen proporcionar una protección adecuada contra la creciente lista de amenazas.

En su lugar, todos los usuarios de Windows deben instalar un software antivirus profesional de nivel empresarial en sus equipos. Los programas antivirus Pro-grade se actualizan con más frecuencia a lo largo del día (proporcionando así una protección oportuna contra vulnerabilidades emergentes rápidas), protegen contra una gama más amplia de amenazas (como los rootkits) y habilitan funciones de protección adicionales (como los análisis personalizados).

2: Instalar protección anti-spyware en tiempo real
Muchos usuarios de computadoras creen erróneamente que un solo programa antivirus con protección de spyware integrada proporciona suficientes protecciones contra adware y spyware. Otros piensan que las aplicaciones antispyware gratuitas, combinadas con una utilidad antivirus, ofrecen una protección eficaz contra la creciente cantidad de amenazas de spyware.

Desafortunadamente, ese no es el caso. La mayoría de los programas antispyware gratuitos no proporcionan protección en tiempo real o activa contra adware, troyanos y otras infecciones de spyware. Aunque muchos programas gratuitos pueden detectar amenazas de spyware una vez que han infectado un sistema, normalmente se requieren programas antispyware profesionales (o totalmente pagados y licenciados) para prevenir infecciones y eliminar completamente las infecciones que ya existen.

3: Mantenga las aplicaciones antimalware actualizadas
Los programas antivirus y anti-spyware requieren actualizaciones regulares de firmas y bases de datos. Sin estas actualizaciones críticas, los programas antimalware son incapaces de proteger a los PCs de las últimas amenazas.

A principios de 2009, el proveedor de antivirus AVG publicó estadísticas que revelan que muchas de las amenazas graves para el equipo son secretas y de rápida evolución. Muchas de estas infecciones son de corta duración, pero se estima que infectan entre 100.000 y 300.000 nuevos sitios Web al día.

Los usuarios de ordenadores deben mantener actualizadas sus aplicaciones antivirus y antispyware. Todos los usuarios de Windows deben tomar medidas para evitar la caducidad de las licencias, asegurando así que sus programas antimalware se mantengan actualizados y continúen brindando protección contra las amenazas más recientes. Esas amenazas ahora se propagan a una velocidad alarmante, gracias a la popularidad de sitios de medios sociales como Twitter, Facebook y My Space.

4: Realizar escaneos diarios
Ocasionalmente, las amenazas de virus y spyware escapan de los motores de protección activos del sistema e infectan el sistema. El gran número y volumen de amenazas potenciales y nuevas hacen inevitable que las infecciones especialmente inventivas superen al software de seguridad. En otros casos, los usuarios pueden dar instrucciones inadvertidamente al software antimalware para que permita la ejecución de un virus o programa espía.

Independientemente de la fuente de infección, habilitar análisis diarios completos de todo el disco duro del sistema agrega otra capa de protección. Estos análisis diarios pueden ser invaluables para detectar, aislar y eliminar infecciones que inicialmente escapan a la atención del software de seguridad.

5: Desactivar autoejecución
Muchos virus funcionan al adherirse a una unidad y se instalan automáticamente en cualquier otro medio conectado al sistema. Como resultado, conectando cualquier n

Recientemente, empezamos a recibir eventos sospechosos de nuestro Sandbox interno Exploit Checker plugin.

Recientemente, empezamos a recibir eventos sospechosos de nuestro Sandbox interno Exploit Checker plugin. Nuestra heurística para la ejecución de código de modo supervisor en el espacio de direcciones de usuario se estaba activando constantemente, y un archivo ejecutable se estaba marcando para su posterior análisis. Al principio, parecía que habíamos encontrado una vulnerabilidad de escalamiento de privilegios locales de día cero para Windows, pero la muestra que estaba activando los eventos Exploit Checker resultó ser el ejecutable ejecutable GundamOnline. exe firmado limpio, parte del juego online multijugador Mobile Suit Gundam Online de BANDAI NAMCO Online Inc.

La muestra inicial se empaca utilizando un empaquetador personalizado y contiene técnicas de anti-análisis que complican el análisis estático. Por ejemplo, intenta detectar si se está lanzando dentro de una máquina virtual realizando una conocida rutina de detección de hipervisor de VMware. Primero carga el registro EAX con el valor mágico del hipervisor VMXh, y el registro ECX con el valor 0x0A, que es un comando especial para recibir la versión del hipervisor. A continuación, ejecuta un comando "in" en el hipervisor VMware I\O del puerto 0x5658. Si el registro EBX se sobrescribe con VMXh como resultado de esa operación, significa que el archivo ejecutable se está ejecutando en la máquina VMware.

Nuestros registros de ejecución del arenero mostraron que la página de memoria del espacio de usuario es llamada desde el controlador bandainamcoonline. sys inmediatamente después de la petición IOCTL 0xAA012044 al objeto dispositivo \\. \\ Htsysm7838 que es creado por el controlador. El controlador en sí mismo se instala justo antes de eso. Primero se coloca en el directorio C: \Windows\SysWOW64\ por un ejecutable GundamOnline, se carga usando NtLoadDriver () y se elimina inmediatamente después.

Normalmente, este tipo de comportamiento no debe permitirse debido a SMEP (Supervisor Mode Execution Prevention). Esta es una característica de seguridad presente en los procesadores Intel más recientes que restringe la ejecución en modo supervisor en las páginas de memoria del usuario. El tipo de página se determina utilizando el indicador Usuario/Supervisor en la entrada de la tabla de páginas. Si se llama a una página de memoria de usuario mientras está en el modo de ejecución del supervisor, SMEP genera una excepción por violación de acceso y, como resultado, el sistema activará una comprobación de fallo y se detendrá. Esto se conoce comúnmente como un BSOD.


El conductor caído en sí mismo es un conductor legítimo, firmado con un certificado expedido a NAMCO BANDAI Online Inc.

El período de validez del certificado nos dice dos cosas. En primer lugar, este certificado ha sido válido desde 2012, lo que podría significar que la primera versión vulnerable del controlador se liberó más o menos al mismo tiempo. Sin embargo, no pudimos encontrar una; la primera muestra de bandainamcoonline. sys que encontramos data de noviembre de 2015. En segundo lugar, debido a que expiró hace más de tres años, usted podría ser perdonado por pensar que es imposible instalar un controlador firmado con este certificado en un sistema. En realidad, no hay nada que le impida instalar y cargar un controlador con un período de validez de certificado caducado.

Para encontrar la causa del desencadenante heurístico, necesitamos hacer un análisis estático del conductor mismo. En la función DriverEntry, primero decodifica la cadena de nombres del objeto del dispositivo en la memoria y, a continuación, crea el dispositivo. Las otras dos cadenas codificadas - bandainamcoonline y bandainamcoonline. sys - no se utilizan en el driver.

El conductor en sí mismo es muy pequeño y contiene sólo tres funciones principales registradas. La función IRP_MJ_DEVICE_CONTROL, que gestiona las solicitudes, sólo acepta dos IOCTL: 0xAA012044 y 0xAA013044. Cuando se llama, comprueba el tamaño de los buffers de entrada y salida y eventualmente llama a la función ExecuteUserspaceCode, transmitiendo el contenido del buffer de entrada.

La función ExecuteUserspaceCode ejecuta una sola comprobación en el búfer de entrada, que contiene un puntero a una función de espacio de usuario o un código shell, y desactiva SMEP mientras guarda los valores de registro CR4 antiguos. Luego llama a esa función, pasándole un puntero a la función MmGetSystemRutineAddress como argumento. Después restaura el estado original del registro, habilitando de nuevo SMEP.

Para poder llamar directamente la función de usuario desde el controlador de puntero suministrado es necesario quitar primero un bit específico en el registro CR4 para detener temporalmente SMEP, que es lo que hace la función DisableSMEP. A continuación, la función EnableSMEP restablece los valores originales del CR4.

La vulnerabilidad en este caso es que, aparte de las comprobaciones básicas sobre el formato del búfer de entrada, no se realizan comprobaciones adicionales. Por lo tanto, cualquier usuario del sistema puede utilizar este controlador para elevar sus privilegios y ejecutar código arbitrario en el anillo 0 del sistema operativo. Incluso si el controlador no está presente en el sistema, un atacante puede registrarlo con las funciones de la API de Windows y explotar el fallo.

Nos dimos cuenta de que esta vulnerabilidad es exactamente igual a la encontrada en el driver de Capcom el año pasado.

La diferenciación binaria de bandainamcoonline. sys y capcom. sys demuestra exactamente eso, mostrando que casi no hay diferencias entre los dos drivers. Las únicas variaciones leves son las cadenas codificadas y digi

Actualización del virus AVG al apagar el equipo

Tengo un avg Internet protección (comprado) en una máquina de Windows 10.
Después de 3 días de tener el equipo apagado (apagado, sin dormir o hibernar) inicié el equipo.
Imagine mi sorpresa cuando la aplicación AVG Internet me dijo que mis definiciones de virus se actualizaron hace 8 horas.

Así que empecé a escanear.  Me pidió que escribiera mi contraseña, que era un comportamiento nuevo.  Nunca antes había tenido que introducir una contraseña.
El escáner estaba "limpio".

Apagué mi computadora (una vez más - apagado, no hibernando o durmiendo)
Hoy cuando encendí mi computadora, avg mostró una actualización de virus hace 11 horas.  (mientras el ordenador está apagado)
Y una vez más pidió una contraseña para ejecutar el escaneo

Así que......
¿Es AVG o Windows 10 encender mi equipo en segundo plano para hacer cosas sin que yo lo sepa?   (¡qué parece una mala idea!) ¿Cómo puedo anular ese comportamiento?  (¡Estoy en la vieja escuela - quiero tener un buen control sobre el comportamiento de mi sistema - y en mi mundo' apagado' significa que no haga otra cosa que cargar la batería!

¿Por qué de repente se me solicita una contraseña para ejecutar un análisis? 

si se trata de un ataque de malware (como se describe en el cuadro de contraseña) ¿no debería AVG capturarlo y ponerlo en cuarentena antes de que cambie mi configuración?

Muy desconcertado, sospechoso y confundido por este comportamiento!  ¿alguna sabiduría?