Mirando el 2009, desde el 2008: tendencias sociales y políticas

El año comienza bien: Apple ha logrado sacar todo tipo de DRM de sus archivos musicales en la iTunes Store. Al menos para la música, esto quiere decir que las majors han resignado el mercado a un uso mucho más libre, multiformato, por parte de usuarios que ahora compran música suelta, en sus propios términos. Las 10 millones de canciones del catálogo de iTunes estarán pronto todas libres para ser usadas por quienquiera en cualquier aparato. Claro está, esto no significa que vayamos a poder comprarlas aquí; solo que nadie podrá seguir con la cantaleta que ripear un CD es un crimen...

La transformación de los contenidos a formatos digitales múltiples continúa, aunque es todavía muy temprano para saber qué alternativa funcionará mejor. Ese el problema: tantos formatos, tantos soportes de hardware, en un mercado que aspira a ser global pero que sigue siendo esencialmente nacional. Porque por un lado se libera la música de DRM; pero por otro la presión por convertir en delito de aduanas el circular con material copiado sin permiso (ACTA, que prometí tratar y haré en las próximas semanas) sigue en pie. Complicado panorama, que en mercados como el Perú significa que el grueso de los consumidores seguirán comprando pirata.

También destaca el problema del spam y el phishing, sobre todo cuando es conducido por spambots. Tras la caída de McColo el spam ha bajado, pero está recuperándose. No es un gran negocio, pero como se puede ver por los casos de localización en el Perú, sigue siendo un tema de interés para muchos y algún beneficio deben estar obteniendo.

Pero la tendencia más interesante tiene que ver con las ciberguerras. Desde los casos comentados a lo largo del año, hasta la reciente expresión virtual del lamentablemente muy real y devastador ataque israelí en Gaza, por todas partes hay pequeños conflictos ciberespaciales que muestran la vulnerabilidad de muchos países, y que nos hacen pensar por lo que puede pasar en nuestro país si llega a producirse un ciberataque en serio.

Tema para la próxima entrada: Tendencias en el Perú.
-

El spam se toma una pausa, pero regresa

Los periodistas pueden ser socialmente útiles en muchos niveles, como el caso de McColo y el Washington Post lo demuestra. McColo era una empresa dedicada a distribuir spam, al servir como ISP de las "asociaciones" que producían, se estima, 75% del spam que circulaba por el mundo. Security Fix, una columna del WP, anduvo tras ella y finalmente envió la información no al FBI, sino a los proveedores de conectividad, específicamente a Global Crossing y a Hurricane Electric. Esta compañías le daban acceso a las redes de telecomunicaciones necesarias para conectar los servidores de McColo al resto de la Internet; el trabajo de McColo era recoger los mensajes y subirlos. Tal vez con el alboroto de Peru21 no se hayan dado cuenta, pero el spam ha bajado un montón en la última semana.

La caída de McColo no ha sido el único intento de bajar el tráfico de spam. Además, queda claro que el negocio no es tan bueno, como un estudio de impacto de lo que logra el Storm Botnet dice que los ingresos diarios no llegan a más de 9.500 USD; solo tiene sentido enviar spam cuando las proporciones son tan elevadas que los costos bajan al piso. Por eso, es necesario un buen ISP, que sea, hasta cierto punto, cómplice.

McColo logró enviar buena parte de su información interna a un ISP ruso antes que sus dos proveedores de conectividad lo trajeran abajo, y todo parece indicar que está por revivir. Así que la disminución de spam puede no ser larga. Pero de todas formas, hay que agradecerles este logro a unos periodistas; en el contexto de lo ocurrido esta semana, es algo de qué alegrarnos.
-

Spam: el ataque de CNN

No basta con matar a Gianmarco, a Pilar Nores o a Shakira. Esos son casos menores. El spam más agresivo que circula en estos días es un muy bien hecho mensaje que aparenta ser el Daily 10 de CNN, una lista de las noticias y los videos más populares del día en CNN.

CNN, como todos estos sitios grandes de noticias, no envía nada a nadie sin suscripción previa. Punto número uno.

Este mensaje, a diferencia de otros, está bien redactado, no tiene horrores ortográficos ("Chile exhibe su potencial velico" decía uno hace unos días) y tiene los enlaces cambiados en los casos individuales, no en el encabezamiento, noticia de copyright o cosa por el estilo. En cada caso el enlace maligno es a un .exe, que se instalará oculto en el sistema y se comunicará con un servidor zombie para instalar más malware.

La cosa está desbordada: comenzó hace pocos días pero ya tengo entre seis y diez diarios...

Como siempre: ignorar, borrar y pasar la voz.

La lenta despedida de los CAPTCHAs

Los CAPTCHA (Completely Automated Public Turing Test To Tell Computers and Humans Apart) son un intento de impedir que los bots a cargo de spammers, phishers y demás bestias de la Red capturen sitios enteros y los hagan inútiles. Desde las variantes débiles usadas en algunos foros, hasta la forma muy sofisticada que adoptó en sitios de alto tráfico como Rapidshare, la popularidad de esta herramienta ha sido señal tanto de su relativa eficacia como del alto grado de agresividad de los spammers.

Sin embargo, todo indica que la hora de los CAPTCHAs ya llegó. Computerworld explica que la situación ha traido como consecuencia la inundación con spam de sitios como Craiglist, Hotmail y demás. Esto implica que la cantidad y variedad del spam aumentará, y que la viabilidad comercial de sitios como Craiglist podrá disminuir significativamente. Sitios como Rapidshare han optado por abandonar los CAPTCHA, optando más bien por bajar la velocidad de download.

Ars Technica daba cifras de espanto en abril: con una tasa de efectividad de 15%, el software anti-CAPTCHA puede crackear la seguridad en un minuto; asociado a un bot, puede entonces crear 1440 direcciones de correo nuevas por día; enviando correos desde estas direcciones, estamos hablando de una capacidad de multiplicación entomológica.

¿Qué hacer? Cosas como la iniciativa ReCAPTCHA, que propone usar las horas-persona desperdiciadas en hacer tonterías para identificar claramente palabras o frases escaneadas de textos viejos, sirviendo como una especie de CAPTCHA en el camino.

Lo cierto es que las perspectivas son malas en general: el poder computacional barato, los intereses mafiosos y la abundancia de informáticos hábiles e inescrupolosos puede hacer imposible que haya algo seguro en el mundo. Si ya estuvieron tras un guerra, ¿porqué no tras algo tan simple como el spam?

Otro super scam: ¿Qué culpa tiene Gianmarco?

Recibí hoy un mensaje por correo: supuestamente una noticia de La República, pero con formato del Comercio, reportaba la muerte de Gianmarco.

Ya hubo un scam con eso de "Chile le declara la guerra al Perú" y otros respecto a un supuesto video del Presidente García reconociendo fraude electoral. Este sí que es desagradable, porque mata a una persona.

Es una estafa total, con un enlace a un supuesto video del accidente que remite a enzele (punto) com. Evidentemente, es hecho en nuestro país, puesto que solo aquí resulta una noticia relevante.

Si se topan con este mensaje: NO LO ABRAN. Ciertamente, no hagan click en el enlace. No lo reenvíen: es falso.

Spit peor que el Spam

Al parecer todo indica que la nueva frontera de la molestia a los usuarios es el Spit (spam over internet telephony). Se trata de llamadas que traen todo el tipo de contenidos que normalmente trae el spam, solo que por voz, no a través de texto. La principal diferencia es que el correo basura llega a un servidor en donde puede ser analizado por algún software y detenido; el spit no se detiene en un servidor, y por lo tanto es muy difícil de detener. Por ello, se estima que será peor que el spam.

¿Se imaginan usar CAPTCHAS auditivos para determinar si una llamada de voz por IP es legítima? Horrible, pero preparense. Skype puede ser el primer objetivo del spam.

(sí, el acrónimo es algo forzadito, pero igual funciona bien).

El scam del año: Chile le declara la guerra al Perú

Vean la imagen y saquen sus conclusiones.

Las pistas: el enlace falso, el estilo equívoco, parecido pero no igual a RPP. Circula fuerte hoy.

El enlace no solo no es a RPP, está vacío: devuelve un 404. Pero el "video exclusivo" envía a una dirección argentina, que trata de bajar a la computadora un archivo exe. Eso es phishing puro, y caer en esta trampa es garantía de muerte lenta.

La amenaza viene de Rusia: el Storm botnet descrito a profundidad

La Wikipedia tiene a veces artículos no solo útiles, bien escritos y académicamente relevantes, sino también imposibles de encontrar en ningún otro lado. Hoy sábado 15 de marzo por ejemplo, el artículo principal (feature article) es sobre la Botnet Storm, una delicada pieza de ingeniería de software maligno, regalo de los hackers del Dark Side ruso.

Una botnet es una red de computadoras zombies, que están al servicio de su amo informático, para propagar cualquier tipo de datos. La botnet Storm es una de las más potentes jamás creadas, puesto que en setiembre pasado se calculó que tenía hasta 50 millones de computadoras bajo su control. Usa un gusano que se propala por spam de correo electrónico.

¿Qué hace? Reenviar spam. Así de simple. Esos mensajes que uno recibe todo el tiempo con tonterías que una vez que se abren en Microsoft Outlook instalan software oculto y maligno (malware) en la computadora, y hacen que mientras uno no se de cuenta (por ejemplo, cuando se deja la computadora prendida con una conexión ADSL) se reenvíe mensajes a todos los que alguna vez recibieron un mensaje legítimo desde dicho Outlook. La Storm solo afecta al Windows, y ahoga las redes de telecomunicaciones con el tráfico excesivo que produce.

Esta claro también, como lo explica el artículo de la Wikipedia, que los amos del Storm saben defender bien su juguete, hasta el punto de atacar a la Universidad de California en San Diego al haber intentado algunos especialistas de esa casa de estudios estudiar el funcionamiento de la botnet.

¿Para qué se lo usa? Al parecer los dueños de la Storm rentan sus servicios a phishers. ¿Lindo no? Aunque todo indica que la Storm ya no es lo que fue, igual, cada cierto tiempo aparecen nuevas botnets, listas para seguir fregando la paciencia.

Lectura más que interesante para los wannabes, hackers y geeks. ¿Otro capítulo más de las guerras informáticas? El reporte de sus orígenes en F-Secure.

No usen Quechup

Recientemente lanzado, Quechup es tan nuevo que tiene una entrada brevísima en la Wikipedia. Aunque parece ser legit, es también muy agresivo en su forma de captación de suscriptores, enviando correos sin preguntar primero, a nombre del ingenuo (como yo) que cae en sus redes. Son por lo menos spammers, sino phishers. No lo usen, ignórenlo y mejor aún, escríbanles y digánles que no sirven para nada.

Actualización del 6 de setiembre: este sitio es realmente un asco. A pesar que me de-suscribí a los 10 minutos de haberme suscrito, sigo en la lista de envíos, y he recibido nueve invitaciones a ser "amigo" de desconocidos que no puedo ni siquiera contestar ¡porque no soy usuario del sitio!