Foto de Tom Roberts en Unsplash (cc).
Por Martin Shelton | Hay una actualización de este artículo en Source.
Cuando los periodistas piden a los lectores que compartan imágenes, videos, audio o documentos de interés periodístico, aumentan su propia vulnerabilidad a ataques. Y si los editores publican esos archivos sin modificaciones, corren el riesgo de infectar a sus lectores también.
Este documento describe las preocupaciones sobre el malware y las técnicas de mitigación que The Coral Project y otros deben considerar para reducir este riesgo.
El malware es un software diseñado para permitir que un tercero obtenga acceso no autorizado o haga uso del sistema de un usuario. El término “malware” es un término general para todo tipo de software malicioso. Esto podría incluir ransomware que encripta los discos duros de los usuarios hasta que paguen para que se desbloqueen; scripts que otorgan privilegios administrativos a usuarios remotos; troyanos que minan el poder de procesamiento y el ancho de banda de los usuarios como parte de una red masiva de bots. Para las organizaciones de noticias, utilizar archivos de terceros conlleva el riesgo de propagar malware, y esto le ha sucedido a los medios en el pasado.
A principios de 2016, a través de descargas que se filtraron en redes publicitarias de terceros, múltiples sitios de noticias, incluidos el New York Times y la BBC, expusieron inadvertidamente a los usuarios con publicidades mezcladas con ransomware. Del mismo modo, en enero de 2016 (después de pedirles a los usuarios que apagaran sus bloqueadores de publicidad) Forbes también infectó, sin saberlo, a sus lectores con malware. Y los investigadores de malware encuentran cientos de estos ejemplos cada mes. De hecho, mientras escribo esto, se han descubierto anuncios maliciosos en Newsweek. Es algo muy común.
¿Por qué los lectores deberían visitar un sitio si no confían en su seguridad? En momentos en que se informa que la confianza en el periodismo está en su punto más bajo, este problema parece particularmente relevante para las organizaciones de noticias.
Recopilé información sobre la entrega segura de archivos multimedia a organizaciones de noticias a través de varias fuentes. Primero investigué cómo varios sistemas de comentarios y foros (por ejemplo, Disqus, Kinja, phpbb, Discourse) entregan archivos multimedia. Tuve innumerables conversaciones con especialistas de seguridad en conferencias de piratas informáticos (por ejemplo, HOPE, DEFCON), en canales de redes sociales (por ejemplo, en Twitter) y con la comunidad de seguridad en tinfoil.press para conocer posibles problemas de malware al enviar archivos multimedia. Finalmente, entrevisté a diez especialistas de seguridad sobre cómo priorizar las amenazas de malware. Durante estas conversaciones, expliqué los casos de uso detrás de nuestras herramientas Ask y Talk. En poco tiempo, los especialistas convergieron en muchas de las mismas soluciones.
Primero analicemos los problemas específicos que las salas de redacción y los usuarios finales pueden enfrentar con malware.
Las reglas del juego de malware son bastante simples. El atacante necesita que un usuario otorgue permiso para ejecutar el malware, ya sea aprovechando los permisos abiertos en otra página del navegador o haciendo que el usuario ejecute el malware por sí mismo.
A veces, un archivo con malware se descarga y se abre automáticamente. Por lo general, esto implica que los usuarios hacen clic en un enlace o visitan una página web que redireccionará a un sitio web que descarga malware (por ejemplo, con JavaScript o Flash malicioso). En un rango estrecho de instancias, se abrirá automáticamente.
Más comúnmente, los archivos de malware deben ser ejecutados manualmente. Algunos de los procedimientos comunes para lograr que los usuarios abran archivos maliciosos:
Formatos de archivos clave sobre los que deberíamos estar más preocupados
Por lejos, las dos familias de archivos de las que deberíamos estar más preocupados son los archivos PDF y los documentos de Microsoft Office. Mientras que los PDF incluyen un iniciador de JavaScript que puede descargar aplicaciones de malware, los documentos de Office (por ejemplo, .doc, .docx, .xlsx, .pptx) pueden abrir macros que ejecutan código incorrecto. De acuerdo con muchos de los especialistas en seguridad con los que hablé, así como con mi propia investigación independiente, sería muy sorprendente que los archivos PDF y Office no fueran los archivos más comunes incrustados con malware en los ataques de phishing.
Otros tipos de formatos de archivo también pueden causar problemas reales. Por ejemplo:
Innumerables formatos pueden distribuir malware. Afortunadamente, relativamente pocos formatos de archivo son relevantes para nuestro caso de uso.
¿Cómo nos defendemos de estas amenazas? Describiré brevemente una mirada general de la estrategia para defenderse contra el malware y luego describiré los enfoques más específicos para cada una de las maniobras que podemos adoptar.
Debido a que uno de los problemas clave con el malware es la posibilidad de que un archivo malicioso se disfrace como otro archivo, primero debemos confirmar el tipo de archivo.
Los especialistas en seguridad generalmente recomiendan volver a codificar imágenes y documentos, rompiendo el malware oculto dentro del archivo. El malware debe recodificarse en una máquina virtual desechable: una computadora dedicada para volver a codificar, que no recibe acceso a archivos para el resto del sistema. La máquina virtual se elimina inmediatamente después de que se haya vuelto a codificar. Los metadatos de archivos potencialmente útiles deben exportarse antes de volver a codificar.
Finalmente, la introducción de controles antispam disminuiría el número de enlaces compartidos por los usuarios a sitios que contienen malware.
Por razones que explicaré a continuación, usar herramientas de exploración de malware y volver a codificar videos y audio pueden ser objetivos secundarios.
CONFIRMAR TIPOS DE ARCHIVO: LISTAS NEGRAS, LISTAS BLANCAS
Antes de dar acceso a periodistas o lectores a cualquier archivo, debemos ser capaces de identificar los tipos de archivos, luego incluir en la lista negra y en la lista blanca diferentes formatos.
No pongas a disposición nada que parezca un archivo ejecutable (.dmg o .exe) o una biblioteca. Solo publica los formatos de archivo que estás dispuesto a aceptar después de confirmar su formato.
Si el formato del archivo no se muestra, inclúyelo en tu lista negra. Si lo haces, es posible que aún tengamos que mirar más de cerca el archivo antes de entregarlo a los usuarios.
USO DE MÁQUINAS VIRTUALES PARA RECODIFICAR ARCHIVOS
El malware se puede diseñar para dirigirse al sistema host, así como a otros usuarios. La mejor forma de proteger el sistema host es utilizar máquinas virtuales cuando se trata de archivos multimedia. Considera una solución de virtualización bien soportada (por ejemplo, Xen) para crear máquinas desechables antes de volver a codificar archivos.
Cuando aceptamos archivos de los usuarios, debemos volver a codificarlos dentro de una máquina virtual desechable y pasar solo ese archivo a una máquina virtual nueva antes de empujar el archivo reencriptado al front-end. Mataremos ambas máquinas virtuales después de haber almacenado nuestro archivo protegido.
Encuentra más detalles sobre la configuración de Xen para su entorno de desarrollo aquí.
RENDEREAR DOCUMENTOS
Debido a que los archivos PDF y Microsoft Office se encuentran entre los más comúnmente utilizados para distribuir malware, es importante que no proporcionemos archivos PDF originales o documentos de Office a los usuarios. En su lugar, podemos entregar documentos como imágenes estáticas o renderizados dentro de lectores de documentos como DocumentCloud.
Dentro de una máquina virtual, puedes extraer contenido de los documentos o simplemente convertir archivos PDF y documentos de Office a archivos de imágenes estáticas.
RECODIFICAR IMÁGENES
SER INTELIGENTE CON LOS METADATOS
MEDIDAS ANTI-SPAM
Tener controles antispam ayuda a disminuir el potencial de propagación de malware a través de enlaces a sitios externos.
Audio
Los expertos con los que hablé no identificaron ninguna vulnerabilidad flagrante asociada con los archivos de audio comúnmente utilizados. Sin embargo, es trivialmente fácil prevenir esta amenaza. De manera similar, podríamos abordar el potencial remoto de problemas con los archivos de audio al volver a codificarlos de la misma manera que se describió anteriormente. Por ejemplo, una pieza de software de audio de código abierto llamado Vorbis podría usarse para convertir un archivo .mp3 a .wav antes de ponerlo a disposición del periodista o el oyente.
Video
Los especialistas de seguridad con los que hablé no identificaron vulnerabilidades de video significativas y concluyeron que es poco probable que los videos inicien malware por sí mismos. El problema más grande relacionado con el video es que los reproductores multimedia sin parches o la codificación de video contengan vulnerabilidades, y aunque ese es un problema muy serio, queda fuera del dominio de The Coral Project. En el caso de una posibilidad remota de problemas de malware con videos, los reproductores de video que vuelven a codificar archivos pueden ser útiles.
Bases de datos de escaneo
El uso de bases de datos de virus (por ejemplo, la API de VirusTotal) también le daría al sistema una ligera ventaja, pero podría ser una maniobra costosa en términos de recursos de CPU, particularmente para quienes usan las herramientas del Coral Project. Los escáneres de virus tampoco son infalibles para los atacantes inteligentes.
Los analizadores de virus generalmente funcionan al comparar el hash de un archivo con un archivo infectado conocido. El hash es simplemente una larga cadena de letras y números que se corresponde con el archivo binario (por ejemplo, 0491f4e55158d745fd1653950c89fcc9b37d3c1102680bd3ce67616a36bb2592 — este ejemplo es un hash de un archivo malicioso. Puedes chequearlo en la base de datos de VirusTotal mediante la búsqueda del hash, que producirá un análisis del archivo).
El problema con este enfoque es que cambiar solo una pequeña parte del binario puede no romper el archivo, pero producirá un hash diferente, lo que permite a los atacantes inteligentes eludir los escaneos de virus. En otras palabras, cuando se trata de escáneres de virus, su millaje puede variar.
Es importante señalar que existen posibles implicaciones de privacidad al enviar archivos hash a una base de datos de virus de acceso público. Es posible que un atacante pueda identificar un archivo en función de su hash. Eso probablemente requeriría que el atacante tenga acceso al archivo en primer lugar. Hay pocos casos en que esto sería un problema para nosotros, pero es algo a tener en cuenta.
TAMBIÉN MERECE ATENCIÓN
ImageMagick es un paquete robusto, gratuito y de código abierto para crear y manipular imágenes. ImageMagick surgió repetidamente durante las entrevistas para resolver problemas de recodificación de todo tipo, pero no es perfecto.
Disqus
Discourse
Qubes OS
Mantener a los lectores y periodistas a salvo de ataques maliciosos es un desafío. Las técnicas de mitigación de malware descritas aquí no son un sustituto de las prácticas estándar, como mantener todo el software del sistema actualizado. Pero al tomar medidas básicas, las plataformas y las organizaciones de noticias pueden ayudar a que los ataques digitales sean mucho más difíciles.
Expresiones de gratitud
Un agradecimiento especial por la guía de …
* Nota relacionada de Mike Tigas en ProPublica: DocumentCloud vuelve a renderizar los documentos cargados en su propio visor. Si quiere conectarse a DocumentCloud, puede ser inteligente hablar primero con Ted Han, pero podría investigar su código de back-end para ver cómo lo manejan.
Martin Shelton fue un compañero de Knight-Mozilla OpenNews con The Coral Project. Obtuvo su doctorado en Informática e Informática en UC Irvine, especializándose en periodismo y seguridad informática. Ahora trabaja en Google.
Sección Start here
Define tu estrategia
Cómo escribir una misión para tu comunidad
Cómo crear un código de conducta
Entusiasma a tu sala de redacción en torno a la comunidad
Identifica tus amenazas
Manejar una comunidad exitosa
Mantener una cultura comunitaria fuerte
Sección How to – Manage moderation
Apoya a tu equipo de moderación
Modera de forma efectiva
Lidiar con un usuario que se pasa de la raya
Evita el malware de contenido enviado por usuarios
Esta traducción al español fue realizada por el periodista chileno Patricio Contreras, editor de Puroperiodismo y cofundador de la plataforma de libros Ojo en Tinta.