¿Podrían ser los botnets y keyloggers los culpables de las fugas de las contraseñas de las 30.000 cuentas hackeadas?

Una investigadora senior de ScanSafe refuta la explicación de Google y Microsoft de que las 30.000 cuentas y contraseñas (de Hotmail, Gmail, Yahoo mail, etc.) secuestradas, lo fueran por phishing masivo.

Mary Landesman, investigadora senior de ScanSafe

Mary Landesman, una investigadora senior de seguridad de base en San Francisco, dijo que es más probable que las listas masivas – que incluyen aproximadamente 30.000 credenciales de Hotmail, Gmail, Yahoo Mail y de otras fuentes – fueran cosechadas por botnets de PCs infectados por keyloggers o por cazapasswords troyanos.

Landesman, basó su especulación en una experiencia accidental en agosto ppdo, que encontró un caché de nombres de usuario y contraseñas, incluidos los de Windows Live ID, el servicio de proteccion ONLINE que Microsoft ofrece a los usuarios en el acceso a Hotmail, Messenger y otros servicios en línea.

Este caché contenía alrededor de 5.000 registros de Windows Live ID, entre combinaciones de usuario y contraseña, dijo Landesman, que encontró el tesoro, mientras investigaba una nueva variante de troyano.

“Por la organización [de este caché] y de la forma cruda como se presentaban los datos, creo que es más probable que fueran el resultado de keylogging o robo de datos, no de phishing”, dijo Landesman.

Ella rechazó la idea de que las contraseñas se hubieran recogido masivamente a gran escala, a través de la ataque de la gama de phishing, Como Microsoft y Google, mantienen.

“Otro indicador es el gran número de cuentas comprometidas,” dijo Landesman, refiriéndose a las dos listas que se han hecho públicas. “Phishing no es generalmente una estafa de enorme éxito, no tiene un gran retorno. Las personas tienen mayor conocimiento acerca de la suplantación de lo que se les adjudica.”

En cambio, es más lógico suponer que las contraseñas fueran adquiridas por los operadores botnet, que secuestran ordenadores a través de exploits de seguridad, y más tarde, imtriducen malwares de robo de datos en dichos equipos. “Esa es una fuente mucho más realista”, dijo Landesman. “Independientemente [de] lo la intención final de una botnet, una de las principales capacidades de cada botnet es la recolección de las credenciales e-mail. Si ello se ve como un caballo de troya, es un caballo, no una cebra. (= no otra cosa como phishing)

Landesman no solo contradice la teoría de Microsoft y Google, sino también la de Anti-Phishing Working Group (APWG), una asociación de la industria dedicada a la lucha contra el robo de identidad en línea (phishing). El lunes, el presidente de la APWG, Dave Jevans dijo que un ataque de phishing que obtuviera miles de contraseñas. “No está fuera del campo de posibilidades”, dijo.

También en contra de la explicación de “phishing”, argumentó Landesman, es el hecho de que la segunda lista – aproximadamente 20.000 contraseñas – figuran no sólo nombres de usuario de Hotmail, sino también de Gmail, Yahoo Mail, Comcast, EarthLink y otros. “Eso implica un ataque mucho más amplio [que la supuesta campaña de phishing], a través de múltiples servicios.”

Lo primero que pensó cuando leyó sobre las cuentas de Hotmail en peligro era de la caché de las credenciales que había encontrado unos meses antes. “Esas listas públicas me recordó a las listas que encontré”, dijo. “Definitivamente no era una lista completa, pero parecía ser un anuncio de lo que este [hacker] tenía por ofrecer”.

El hacker, con o sin experiencia, no era demasiado brillante: Los datos no eranb los protegidos por contraseña, que es la norma para los depósitos de credenciales.

Landesman sostiene que su teoría no es sólo un ejercicio académico.

“Toda persona que sospeche que su cuenta ha sido interceptada deben cambiar su contraseña”, dijo, repitiendo el asesoramiento por parte de Microsoft, Google y expertos en seguridad de otros. “Pero si, después de cambiar su contraseña, se observa de nuevo que su nueva cuenta se utiliza para el correo spam, o que de nuevo no puede acceder a su cuenta, entonces se tiene que sospechar que hay una infección de un troyano en su PC. ”
Fuente

Pues que vigilen todos los de estas listas, ya que, si es asi, aun cambiando cuentas y passwords, volveran a ser capturadas por el troyano residente.

saludos

ms, 11-10-2009