¿Cómo saben los expertos en seguridad informática o los piratas informáticos cuándo alguien ha pirateado su computadora y está escuchando la actividad de la computadora y de Internet?

A2A.

Bueno, estoy realmente sorprendido por la cantidad de respuestas que menciona cómo la gente realmente no se dará cuenta cuando sus dispositivos sean pirateados. De todos modos, intentaré enviar una respuesta técnicamente razonable como sea posible.

Si creemos que la computadora de alguien está pirateada, primero buscamos lo que llamamos IoC (Indicaciones de Compromiso) , podrían definirse como cualquier acción maliciosa o de comportamiento extraño en cualquier parte de su computadora. Hay un tema completo en Cyber ​​Security que está directamente relacionado con el análisis y la extracción de IoC de un sistema, llamado Malware Analysis. Tomando el sistema operativo Microsoft Windows como ejemplo (podría aplicarse en otro lugar), hay muchas acciones que hacer si alguna vez pensó que fue / hackeado:

• Puertos abiertos (¿Registros de firewall?)
• Registro “Ejecutar” y colmenas de ejecución automática
• Acciones del sistema de archivos (las herramientas de Sysinternals son bastante útiles específicamente para ese punto)
• Tomar imágenes de memoria de los procesos del sistema (como svchost.exe, winlogon.exe, etc.) para un análisis más detallado.
• Adjuntar un depurador del núcleo y monitorear las llamadas al sistema y sus respectivos procesos relacionados.

Incluso los malwares más sofisticados (¿Stuxnet?) Realmente no pueden evadir ser descubiertos en los puntos 4 y 5.

Estoy hablando de lo que haría un “experto en seguridad” (como usted lo llamó) si alguna vez pensara en ser hackeado.

La mayoría de las compañías de alto nivel generalmente implementarán lo que se llama un IDS (Sistema de detección de intrusiones) y / o IPS (Sistema de prevención de intrusiones) en sus servidores o puertas de enlace. Son similares a las reglas de firewall en el sentido de que buscan eventos anómalos en la red o firewall en función de las reglas establecidas en los programas. Una vez que se detecta uno de estos eventos anómalos, el IDS enviará una alerta a los administradores del sistema o de seguridad, mientras que un IPS tomará acciones automatizadas para detener la intrusión, como bloquear la IP, bloquear sistemas clave, auto-encarcelamiento y muchos Otras acciones posibles (todas en su mayoría guiones basados ​​en Linux / Unix).

Ahora, dicho esto … IDS e IPS no siempre detectan el 100% de los ataques e intrusiones. Esto es lo que llamamos un “evento de día cero”, lo que significa que poco después de que se publique una actualización, una vulnerabilidad sin parches podría comprometer el sistema sin ser detectado. Esto es a menudo la razón por la que verá que las empresas esperan varias semanas / meses después de que se publique una actualización importante antes de actualizar sus sistemas. Esto es para permitir que las actualizaciones sean parcheadas de día cero (principalmente), y permitir una ventana de actualización mucho más segura.

No soy un experto, pero en mi experiencia cuando aprendes seguridad, aprendes cómo se ven las cosas malas. Si su explorador de Windows se bloquea repentinamente sin razón aparente, usted sospecha, o si el sistema parece estar desacelerando sin razón, sospecha, etc. Entonces, si desea ver si hay algo mal, normalmente puede comenzar con solo revisar tus procesos.

Si está en el campo, tiende a recibir noticias sobre nuevos malware conocidos. Por lo tanto, verifique los procesos que afecta el nuevo malware, ciérrelos si no son críticos y, en general, realice un seguimiento de lo que está ejecutando su sistema. Por lo general, si no está utilizando un dispositivo de la compañía, su sistema también está completamente actualizado, por lo que habrá reparado todas las vulnerabilidades menos las más recientes.

Otra cosa que ayuda es que las personas con mentalidad de seguridad realizan un seguimiento de los firewalls. El primer objetivo que nmap’ed fue mi propia máquina, le dice qué puertos están abiertos para que pueda investigar. Especialmente cuando puede tener solo 10 o más reglas de firewall de línea, cada una con un comentario que explica por qué existe (piense en las reglas de iptables o ufw). Entonces, si eso cambia, puedes estar bastante seguro de que algo salió mal.

Por último, las personas con mentalidad de seguridad también tienden a los sistemas Unix, por lo que Mac o Linux. Debido a las diferencias de cuota de mercado, estos obtienen proporcionalmente menos malware dirigido hacia ellos. Por lo tanto, es un problema significativamente menor, en general. También es (en mi opinión) mucho más fácil administrar estos sistemas como superusuario, solo debido a bash y la cadena de herramientas del terminal. Puede ver todos los procesos y servicios en su sistema, quién ejecutó qué y en qué estado se encuentra, con aproximadamente 2 líneas en terminales bash (para la mayoría de las distribuciones). A menudo, eso es alrededor de una página o más de cosas en ejecución, lo que es bastante fácil de comprobar si nada está haciendo algo absurdo (el usuario de Apache que ejecuta zsh o el proceso netcat, por ejemplo, sería una gran señal de alerta que estropeó en alguna parte). Luego puede manejar en consecuencia (cierre los procesos sospechosos, bloquee / apague la red, comience a ejecutar escaneos o apague los servicios potencialmente vulnerables).

Hay pequeñas señales que se revelarán a alguien que está extremadamente familiarizado con una máquina en particular. Si me tomara una fracción de segundo más de lo que normalmente tarda en cargarse el menú de mis programas del año pasado, lo notaría e investigaría. Si un icono tuviera un tono de color ligeramente incorrecto, lo notaría e investigaría. Si estoy revisando mis procesos en ejecución (como lo hago muy a menudo) y no reconozco algo, lo investigaría. Si un día verifico el tráfico de mi red, notaré que los datos van a una IP que no espero y que finalmente no puedo dar cuenta, e investigaré. Esos son algunos ejemplos, y hay muchos más. Nunca está de más auditar ocasionalmente el tráfico de su red y los procesos del sistema para cada dispositivo …

Además, es muy poco probable que la gran mayoría de los crackers (el término real para un delincuente informático: los hackers son simplemente personas a las que les gusta jugar) van a cubrir todos sus signos y pistas perfectamente. Se notará algo ‘apagado’. Especialmente cuando considera que la mayoría no son ataques dirigidos que tienen en cuenta la experiencia de la ‘marca’ esperada, ni deberían hacerlo. Normalmente es suficiente escribir algún malware sin sentido trivial que apenas funciona y que al menos es un poco defectuoso si desea infectar al 98% de los usuarios que casi no tienen conocimiento de lo que una computadora realmente debería o no debería estar haciendo.

El cerebro humano adecuadamente entrenado no tiene igual (hasta ahora) como detector de compromiso en mi opinión.

Hay una forma fantástica de analizar su computadora si hay algún posible malware (o software sospechoso) presente. Es una indicación de que su sistema está infectado o pirateado. (Un hacker definitivamente pondría algún troyano en su sistema y monitorearía sus actividades).

Utiliza SysInternals Process Explorer. Si aprendió esto, estará un paso más cerca de cómo el profesional analizaría su sistema.

Aprenda esto del reconocido experto de Microsoft: Mark Russinovich

TWC: Malware Hunting con Mark Russinovich y las herramientas Sysinternals

(Este chico es uno de mis héroes …)

Hay varias herramientas que son bastante útiles. Todos menos algunos virus necesitan el ciclo de reinicio para obtener el control. Autoruns de sysinternals, ahora Microsoft te dice exactamente qué arranca todo. Después de cada visita, incluso de naturaleza cuestionable, reviso y limpio la suciedad, por supuesto, mientras copio las últimas cosas en lugares seguros.

Windows Sysinternals

Observar quién hace ping, toca y escanea el puerto en el exterior es otro conjunto de herramientas. Una vez más, le recomiendo que mire sysinternals for TCP view como iniciador para acostumbrarse a ver lo que su PC está haciendo en Internet.

Si va más allá de eso, los anti hackers tienden a infectar la PC y luego la limpian después de estudiar los efectos. Hay varias herramientas de disco que le dan una descripción detallada de las diferencias de antes y después de un ataque.

Más allá de eso, tiende a costar un poco de dinero entrar en todo tipo de software especializado.

Si acabo de construirlo, lo aseguré, sin tocar Internet, y está apagado: es posible que no se vea comprometido. De lo contrario, supongo que cualquier máquina ya ha sido propiedad.

La única computadora segura está en una caja fuerte, apagada, con el disco duro en fragmentos muy pequeños en el fondo de al menos dos cuerpos de agua. Si puede acceder a Google, el cuadro ya no es seguro. Juzgue el riesgo, juzgue la seguridad; considere el hecho de que si es un objetivo lo suficientemente alto, alguien lo quiere … probablemente más de lo que usted quiere protegerlo.

¿Cómo sé que ha sido comprometido? El asistente es bastante bueno para mostrar qué archivos han cambiado. Los cambios repentinos en el rendimiento son una pista. Un proceso llamado / ruut / ls que toma la mitad de la memoria es una gran pista.

Pero la regla más grande es fácil … Si está conectado, no lo tengo.

Por lo general no lo hacen.

El ataque grave promedio sigue siendo desconocido durante 3 a 6 meses. Si supieran que está allí, ¡lo detendrían!

Pero cada ataque tiene sus propios regalos. Utilizan recursos de red, recursos informáticos, cambio de comportamiento, y todos estos son observables a lo largo del tiempo.

Depende de lo bueno que sea el atacante y de lo ruidosos que sean sus patrones de ataque.

Un atacante realmente inteligente mantendrá un perfil muy bajo y puede pasar desapercibido durante mucho tiempo, como afirma acertadamente el usuario de Quora.

Un analista y / o un administrador de sistemas pueden ver los registros, pero el gran problema de la seguridad es la gran cantidad de información que tiene que examinar.

Incluso con la solución más inteligente / de vanguardia, especialmente en el caso de 0 días, siempre puede existir la posibilidad de que algunos ataques pasen desapercibidos.

Solo puede intentar reducir la superficie de ataque e implementar una seguridad en capas, también conocida como defensa en profundidad.

Esto es solo para mí, no puedo decirlo para otros investigadores, pero reviso regularmente cada parte de mi computadora para detectar vulnerabilidades en el sistema operativo o el firmware. Si se encuentra algo sospechoso, verifico si hay periféricos o programas que puedan estar causándolo. Si no encuentro nada, corto todas las comunicaciones hacia y desde mi computadora e inmediatamente escaneo mi computadora en busca de cualquier software dañino. Si eso no resulta nada, mantengo mi computadora apagada y desconectada de Internet durante al menos una semana. Parece paranoico, pero ha ayudado a prevenir y detener muchas infecciones que estaban dirigidas a mí.

No se asuste!
¿Qué hacer si (crees) que estás bajo ataque? Primero, no se asuste. Si el hacker ha entrado en su sistema, es posible que ya haya hecho el daño. Si todavía no ha entrado, puede que nunca entre. Si el ataque se basa en la red (como escaneo de puertos, ataque DoS o falsificación de DNS que de alguna manera detecta), entonces la mejor opción podría ser desconectarse. Desconecte el enchufe para estar seguro. Por otro lado, si sabe que sus defensas son buenas, sería aconsejable averiguar quién está tratando de hacer o qué hacer con su sistema. Si se desconecta, el pirata informático podría notarlo y descubrir que lo vio.

Recuerde que si recibe golpes en su cortafuegos desde el exterior, eso simplemente significa que su cortafuegos está haciendo su trabajo y que está a salvo, por lo que no hay una razón particular para desconectarse. Todavía vale la pena investigar, ya que podría ser una señal de que alguien intenta conectarse a un caballo de Troya que está en su computadora o buscar vulnerabilidades en su computadora para explotar. Sin embargo, si recibe golpes muy extraños en su firewall desde el interior de su computadora hacia afuera, entonces es muy importante desconectarse para asegurarse de que sea lo que sea, y que NO saldrá a la red sin importar lo que suceda después. Después de que se haya asegurado de que el hacker no esté entrando / saliendo de su sistema, entonces tiene tiempo para descubrir y reaccionar mucho mejor al ataque. Visite stingraytriangle (at) g mail él hace milagro,