[usb-ci] Fwd: una-al-dia (15/01/2011) Según el New York Times, Stuxnet fue creado por el gobierno de Estados Unidos e Israel

teruel teruel en ldc.usb.ve
Lun Ene 17 16:06:13 VET 2011


 Creo que puede ser de interés lo que dice el Código de Ética del ACM al 
 respecto. Entre las obligaciones de los miembros del ACM están:

 1.2 Evitar daños a otros.
 Tales daños incluirían pérdida indeseable de información, daños o 
 pérdida de propiedad o impactos ambientales perjudiciales. Por “otros” 
 se entienden usuarios, el público en general, empleadores, empleados y 
 clientes. Las acciones que deben evitarse incluyen la destrucción o 
 modificación intencional de archivos, programas o dispositivos que 
 derive en pérdida grave o destrucción de recursos o que obligue a las 
 personas a invertir esfuerzos y tiempo para recuperarse de tales daños. 
 Por ende el ACM considera que la elaboración y  transmisión intencional  
 de virus y otros esquemas de malware producen daños.

 La Ley Especial contra los Delitos Informáticos vigente en Venezuela 
 establece:

 Artículo 7 Sabotaje o Daño a Sistemas Todo aquel que con intención 
 destruya, dañe, modifique o realice cualquier acto que altere el 
 funcionamiento o inutilice un sistema que utilice tecnologías de 
 información o cualesquiera de los componentes que lo conforman, será 
 penado con prisión de cuatro a ocho años y multa de cuatrocientas a 
 ochocientas unidades tributarias. Incurrirá en la misma pena quien 
 destruya, dañe, modifique o inutilice la data o la información contenida 
 en cualquier sistema que utilice tecnologías de información o en 
 cualesquiera de sus componentes. La pena será de cinco a diez años de 
 prisión y multa de quinientas a mil unidades tributarias, si los efectos 
 indicados en el presente artículo se realizaren mediante la creación, 
 introducción o transmisión, por cualquier medio, de un virus o programa 
 análogo.

 Es conveniente también recordar que en la realidad, las situaciones 
 pueden conducir a conflictos éticos exacerbados cuando una parte 
 desconoce y teme lo que la otra parte realiza o pudiera estar 
 realizando. Así, considere también del mismo Código Ético de la ACM:

 1.1 Contribuir a la sociedad y al bienestar humano
 Según aclara la ACM, esta obligación incluye el deber de proteger los 
 derechos humanos fundamentales, respetar la diversidad de todas las 
 culturas y minimizar las consecuencias negativas de la informática, 
 incluyendo las amenazas a la salud y la seguridad, personal, social y 
 ambiental.

 ¿Irán desarrolla la tecnología nuclear para usos pacíficos o para usos 
 bélicos? En caso de lo segundo, ¿en que sentido contribuye tener la 
 capacidad de fabricación de bombas nucleares a la paz, la seguridad y el 
 bienestar humano?

 Vivimos en tiempos de desarrollo de nuevas modalidades de ciberguerra y 
 ciberterrorismo. Considero importante que  reforcemos la enseñanza de 
 valores y ética informática en nuestra carrera y nuestro entorno.

 Alejandro Teruel

 On Mon, 17 Jan 2011 09:17:47 -0430, "Prof. Roger Clotet" 
 <rclotet en ldc.usb.ve> wrote:
> FY
>
> 
> http://www.nytimes.com/2011/01/16/world/middleeast/16stuxnet.html?_r=1&scp=2&sq=stuxnet&st=cse
>
>
> ---------- Forwarded message ----------
> From:  <noticias en hispasec.com>
> Date: 2011/1/17
> Subject: una-al-dia (15/01/2011) Según el New York Times, Stuxnet fue
> creado por el gobierno de Estados Unidos e Israel
> To: unaaldia en hispasec.com
>
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
>  -------------------------------------------------------------------
>  Hispasec - una-al-día                                  15/01/2011
>  Todos los días una noticia de seguridad          www.hispasec.com
>  -------------------------------------------------------------------
>
>  Según el New York Times, Stuxnet fue creado por el gobierno de
>  Estados Unidos e Israel
>  --------------------------------------------------------------
>
> New York Times ha venido a confirmar lo que ya se rumoreaba desde 
> hace
> tiempo: Stuxnet, un gusano que sorprendió a propios y extraños por
> su extrema complejidad y profesionalidad, ha sido financiado por el
> gobierno de Estados Unidos de América e Israel, y su objetivo eran
> las centrales nucleares de Irán.
>
> Desde mediados de 2010, Stuxnet ha marcado un antes y un después en
> la mitología del malware, acaparando titulares. Técnicamente, es
> muy avanzado: el uso combinado e inteligente de vulnerabilidades
> desconocidas hasta el momento para difundirse, el uso de certificados
> válidos, y unos objetivos muy concretos (el software para controlar
> ciertos aspectos de las centrales nucleares) hacían pensar que detrás 
> de
> este código debía existir un despliegue fuera de lo común. Se 
> necesita
> mucho conocimiento, poder, investigación y tiempo (o sea, mucho 
> dinero
> en resumen) para desarrollar Stuxnet y esta tarea ya se le reservaba 
> a
> los gobiernos. Por ejemplo, en octubre ya escribíamos en una-al-día 
> que
> Stuxnet fue "diseñado y financiado supuestamente por algún gobierno 
> para
> atacar el plan nuclear Iraní" y Eugene Kaspersky consideraba en esas
> mismas fechas que Stuxnet "era el prototipo funcional de una 
> ciber-arma,
> que dará el pistoletazo de salida a una ciber-guerra en el mundo"
>
> Lo que sugiere el New York Times es que Estados Unidos e Israel
> desarrollaron el gusano para paralizar el plan nuclear iraní. Durante
> dos años se utilizó una central nuclear de Dimona (al sur de Israel)
> como laboratorio para examinar y ensayar Stuxnet con el objetivo de
> sabotear las centrifugadoras nucleares en Irán. En Dimona, los
> israelitas utilizaron el mismo tipo de centrifugadoras que operan en 
> la
> central iraní de Natanz, donde se produce el enriquecimiento de 
> uranio.
> Así consiguieron que fuese tan efectivo: el gusano paralizó la quinta
> parte de las centrifugadoras de uranio de Natanz. Stuxnet primero
> modificaba sus parámetros de regulación para destruirlas y luego 
> enviaba
> señales al sensor para aparentar que todo estaba correcto.
>
> En principio, la información del New York Times viene de "expertos
> militares y de inteligencia norteamericanos", pero muy probablemente
> nunca será confirmado oficialmente (aunque todo apunta a que sea
> cierto).
>
> Por ejemplo, en la noticia se habla de que llevaban dos años 
> trabajando
> en el gusano. Según nuestra base de datos de Virustotal, la primera
> referencia a Stuxnet viene el 1 de julio de 2009. Sí, 2009 (Stuxnet
> saltó a los medios en julio de 2010). Pero no es el troyano como tal. 
> Lo
> que encontramos entonces son las primeras referencias a malware que
> aprovecha una vulnerabilidad por entonces llamada simplemente por
> algunos antivirus "Autorun". Solo era detectado por 6 motores. Lo que 
> no
> sabían, es que esta sería la vulnerabilidad que más tarde (un año más
> tarde) se calificaría como CVE-2010-2568, y que permitía a Stuxnet la
> ejecución de código a través de enlaces LNK. En pocas palabras: esta
> vulnerabilidad (que obligó a Microsoft a publicar un parche de
> emergencia por su gravedad) era conocida desde hacía más de un año y,
> aunque algunos motores la detectaban entonces, no descubrieron que 
> era
> "nueva". La metieron en el saco de malware genérico que se ejecutaba 
> a
> través del Autorun. Tuvo que entrar en escena Stuxnet para que se
> analizase, saliera a la luz y fuera corregida.
>
> Las primeras muestras en aprovechar este fallo vienen desde Vietnam,
> China y una casa antivirus en el Reino unido en julio de 2009. Se 
> siguen
> recibiendo muestras, pocas, durante todo 2009 y 2010, y no es hasta
> julio de 2010 que es ampliamente reconocida como lo que realmente es.
> Una muestra real de Stuxnet en nuestra base de datos la encontramos 
> por
> primera vez el 16 de mayo de 2010. Se trata de un driver (archivo 
> .sys
> que contiene la funcionalidad de rootkit de Stuxnet) que no era
> detectado entonces por ningún motor. Sigue pasando relativamente
> desapercibido hasta el 7 de julio, cuando un antivirus lo bautiza 
> como
> Stuxnet. A partir de ahí, recibimos muchas muestras, pero no es hasta
> finales de julio que es detectado por la mayoría.
>
> El primer ejecutable Stuxnet del que tenemos noticia, se remonta 
> también
> al 16 de mayo de 2010 y sigue una trayectoria muy similar al driver 
> en
> nivel de detección.
>
> Opina sobre esta noticia:
> http://www.hispasec.com/unaaldia/4466/comentar
>
> Más información:
>
> Israel y EEUU crearon el virus que dañó el programa nuclear iraní
> 
> http://www.elmundo.es/elmundo/2011/01/16/internacional/1295180388.html
>
> Éxitos y fracasos de Stuxnet (I)
> http://www.hispasec.com/unaaldia/4382
>
> Éxitos y fracasos de Stuxnet (II)
> http://www.hispasec.com/unaaldia/4383
>
> Éxitos y fracasos de Stuxnet (y III)
> http://www.hispasec.com/unaaldia/4384
>
>
> Sergio de los Santos
> ssantos en hispasec.com
>
>
>  Tal día como hoy:
>  -----------------
>
> 15/01/2010: 0-day en Internet Explorer: Detrás de los ataques a
> grandes compañías
>    http://www.hispasec.com/unaaldia/4101
>
> 15/01/2009: Ejecución remota de código en Winamp y Amarok
>    http://www.hispasec.com/unaaldia/3736
>
> 15/01/2008: Denegación de servicio a través de libxml2 en Sun Solaris 
> 9 y 10
>    http://www.hispasec.com/unaaldia/3370
>
> 15/01/2007: Ejecución de código arbitrario en MIT Kerberos V5 1.x
>    http://www.hispasec.com/unaaldia/3005
>
> 15/01/2006: Denegación de servicio en PostgreSQL 8 bajo Windows
>    http://www.hispasec.com/unaaldia/2640
>
> 15/01/2005: Actualización de seguridad de iTunes
>    http://www.hispasec.com/unaaldia/2275
>
> 15/01/2004: Desbordamiento de búfer en MDAC de diversos sistemas 
> Windows
>    http://www.hispasec.com/unaaldia/1908
>
> 15/01/2003: Se publica un interesante informe sobre el impacto
> económico de los "bugs"
>    http://www.hispasec.com/unaaldia/1543
>
> 15/01/2002: Las incidencias por problemas de seguridad se duplican en
> el último año
>    http://www.hispasec.com/unaaldia/1178
>
> 15/01/2001: Guninski y Media Player 7
>    http://www.hispasec.com/unaaldia/813
>
> 15/01/2000: Resumen de Bugtraq del 10-01-2000 al 16-01-2000
>    http://www.hispasec.com/unaaldia/445
>
> 15/01/1999: Nuevo virus en Java
>    http://www.hispasec.com/unaaldia/80
>
>
>  -------------------------------------------------------------------
>  Claves PGP en http://www.hispasec.com/directorio/hispasec
>  -------------------------------------------------------------------
>  Bajas:   mailto:unaaldia-request en hispasec.com?subject=unsubscribe
>  Altas:   mailto:unaaldia-request en hispasec.com?subject=subscribe
>  -------------------------------------------------------------------
>  (c) 2011 Hispasec               http://www.hispasec.com/copyright
>  -------------------------------------------------------------------
>
> -----BEGIN PGP SIGNATURE-----
> Version: GnuPG v1.4.10 (MingW32)
>
> iQEcBAEBAgAGBQJNNEDTAAoJEI/UizGiFA4PbqAH/3YZq7zN5rt/FliKWQTghlzy
> kpc/dImb1ImRctZi7AoOT2R1l227p3pEcXMAmBCEkuSdoTId8K3jxhFyM7ojzeWV
> YDTjq4wFm/w7/FWUW7oLTx19zy2F/uLZieS+QZGmugw2luymKTVbXi231Y7Hg2g3
> INOHd+v0tCQBA+YO+KPne/Spzi5JGFg7GwJ48/qXsLklJiQCMOCc3qxNGz3TQkB7
> E9G2l3XvbdRMY3SrdAJuHU0/mdi5kj5WLmDzeoIf+EvxLSzNFsh5LM2AmtThOPLl
> s5n8+w8Z2I9hn4wMK1UVAyK1jQuitpjOcJu/gGBXWS0xFv97tyNfcNMy1C0YpKg=
> =dR1H
> -----END PGP SIGNATURE-----
> _______________________________________________
> Usb-ci mailing list
> Usb-ci en ldc.usb.ve
> http://listas.ldc.usb.ve/mailman/listinfo/usb-ci



Más información sobre la lista de distribución Usb-ci