Pocos de los que sufrieron su durísimo golpe a finales de la década pasada han podido olvidar la vulnerabilidad Windows MS08-067, más conocida por ser la puerta de entrada del temible 'malware' Conficker. En enero de 2009, cerca de diez millones de ordenadores estaban infectados, y eso que Microsoft ya había tomado algunas medidas y los expertos estaban combatiendo al virus sin descanso.
Conficker afectó a todas las versiones del sistema operativo que existían en aquel momento, incluidas Windows XP y Vista. Se propagaba a gran velocidad, casi como el fuego sobre campo seco, arrasando con todo a su paso. Además, sus creadores supieron sacarle el máximo partido diseñando diferentes versiones, cada cual más potente, a medida que les iban cortando las alas.
Conficker infectaba máquinas que a su vez buscaban otras víctimas, también con debilidades, para atacarlas. Utilizaba internet, era capaz de transmitirse a través de dispositivos USB y de carpetas compartidas en red, desactivaba ciertos servicios (como las actualizaciones automáticas), bloqueaba el acceso a casi un centenar de antivirus y soluciones de seguridad, se conectaba a un servidor para recibir instrucciones de sus autores, recolectaba información personal e incluso descargaba de la Red otros 'malware' y los instalaba en los ordenadores infectados.
El tiempo parecía haber curado las heridas abiertas por este pertinaz gusano, pero un reciente estudio de investigadores holandeses demuestra que Conficker sigue vivo. Cerca de un millón de máquinas siguen infectadas en la actualidad.
Después de tanto tiempo y de todo el trabajo realizado para combatirlo, ¿cómo es posible que siga dando guerra? A Hadi Asghari, uno de los autores del informe, también le resulta llamativo. Explica a HojaDeRouter.com que Microsoft dio soluciones para acabar con el problema (de hecho, el primer parche se publicó en octubre de 2008, poco después de que Conficker fuera detectado por primera vez) y que todos los antivirus modernos son capaces de vencer al gusano.
En su opinión, si aún existen ordenadores infectados es porque no utilizan antivirus ni han implementado las medidas de seguridad disponibles, “algo que también resulta sorprendente”. En parte, esto puede haber sucedido porque algunos afectados no se percataron del problema y nadie se lo ha notificado, lo que según Asghari denota que muchas compañías no tienen en cuenta aún la importancia de contar con un experto en ciberseguridad.
Ricardo Garrido, que trabajó desde la firma de antivirus Trend Micro aconsejando a las empresas que sufrieron los embates de Conficker, cree que ciertas máquinas, especialmente las de grandes organizaciones, no se han actualizado para corregir la vulnerabilidad porque deben permanecer funcionando continuamente, sin poder someterse a ningún tipo de intervención. Asghari añade que deberían haber aplicado las actualizaciones de Microsoft o incluso haber pasado una versión más reciente de Windows, pero para eso hubiera sido necesario reiniciar las máquinas.
No puede saberse con exactitud a quién pertenecen los ordenadores infectados. Podrían ser usuarios domésticos o pequeñas y grandes empresas, hospitales, comercios, aeropuertos... Lo más probable, sin embargo, es que la mayor parte sean de usuarios individuales. En los otros casos, habría que preguntarse por qué los ordenadores de centros de salud u otros sitios que merecen especial protección estaban siquiera conectados a internet y, sobre todo, por qué máquinas con funciones tan sensibles no han sido renovadas en todo este tiempo.
Lo cierto es que el despliegue que se realizó para acabar con Conficker fue importante. Organizaciones y empresas de seguridad de países como Finlandia, Estados Unidos, Reino Unido, Australia, Alemania, Irlanda, Japón, Corea y Holanda se unieron y crearon el Conficker Working GroupConficker Working Group. Su misión: controlar el virus, llegar hasta sus creadores y alertar a las víctimas. “Fue un esfuerzo multinacional”, recuerda Asghari.
Aunque lograron neutralizarlo durante cierto tiempo, pequeños errores permitieron que los cibercriminales tuvieran acceso al gusano en varias ocasiones, logrando propagar versiones nuevas cada vez más potentes.
Finalmente, el virus consiguió controlarse y sus principales responsables fueron detenidos en 2011, “víctimas de su propio éxito”. La velocidad y el alcance de su ataque puso en guardia a toda la comunidad de expertos en ciberseguridad, que se movilizó de inmediato y pudo contener a Conficker.
Pero, ¿cómo es que no han sido capaces de limpiar el último millón de ordenadores afectados? La respuesta, en realidad, es lógica: resulta imposible que los expertos puedan acceder a cada equipo, uno a uno. De hecho, “esa era la principal dificultad” de quienes lucharon contra el virus en su momento. Incluso si localizaran los ordenadores, “habría que explicar a las personas cómo limpiar sus máquinas, y muchas veces se hace difícil que la gente lo entienda”.
De lo que sí podemos estar seguros es de que Conficker no volverá a representar un peligro. Las máquinas que siguen infectadas mantienen el virus controlado desde hace tiempo, concretamente a partir de su tercer año de vida, y los administradores de sistemas de las compañías que tienen el virus en sus ordenadores son perfectamente conscientes de dónde está el virus. “Está localizado, saben que no va a afectar a otros usuarios”, explica Asghari.
Los del auge de Conficker fueron tiempos intensos y “caóticos”, pero ya nunca volverán. El investigador afirma que los ordenadores infectados actualmente representan solo un 0,5% de todos los que hay en el mundo. Además, no podrán sobrevivir para siempre. Llegará un momento en el que el virus desaparecerá de forma natural, con los propios equipos. Es ley de vida.
----------------
Las imágenes utilizadas en este artículo son propiedad, por orden de aparición, de Blake Patterson, Wikipedia, Conficker Working Group, Yuri Samoilov y Martin Terber