La Web 2.0, amb les seves tecnologies dinàmiques i bullicioses comunitats, ha convertit l'antany tranquil territori de la web en un salvatge Oest. A mesura que arribaven els colons, ho feien també els criminals, instal·lant mil trampes per caçar els ordinadors dels incauts. Caure-hi és tan senzill com visitar un lloc amb un navegador o sistema operatiu que tinguin alguna fallada de seguretat.
Segons l?empresa Sophos, cada dia es descobreixen 6.000 pàgines infectades. Els propietaris, en el 83% dels casos, ni ho saben. Algú ha aprofitat un forat de seguretat per colar-los un codi maliciós que infectarà els visitants: una finestra emergent els demanarà si accepten descarregar un arxiu per visualitzar millor la pàgina. Aquest fitxer contindrà el virus.
I no serà un virus qualsevol, sinó un virus intel·ligent, pertanyent a una nova generació anomenada Malware 2.0, capaç de detectar el sistema operatiu i navegador de la seva futura víctima per instal·lar-li el codi maliciós adequat. Cada vegada més, ja no cal que el visitant accepti descarregar res: el virus s'introdueix automàticament al vostre ordinador mitjançant un programeta amagat a la pàgina visitada.
Nous atacs diaris
Cada dia es coneixen nous atacs d'aquest tipus, especialment a les xarxes socials. La més castigada és MySpace per una senzilla raó que explica Luis Corrons, director tècnic de PandaLabs: "Els creadors de codi maliciós intenten que la distribució del seu codi afecti el nombre més gran de gent i, com més gran i activa sigui una xarxa social, més fàcil serà”.
Les primeres xarxes socials atacades van ser Orkut i MySpace, el 2005. Totes dues tenien errors de Cross Site Scripting (validació incorrecta de l'HTML), el problema de seguretat més gran de la Web 2.0 juntament amb els controls javascript i ActiveX. Els assaltants van introduir cucs en perfils d'aquestes xarxes que, en ser visitats per persones amb navegadors vulnerables, infectaven els seus perfils i aquests altres. Hi va haver milers d'infeccions en minuts.
Des de llavors, les xarxes socials han vist de tot: fòrums i invitacions d'amistat que demanen al visitant que descarregui un programa per poder visualitzar una foto, una pel·lícula, una postal d'aniversari. Actualitzacions de coneguts programes que en realitat són virus. Programes antiespies que en realitat instal·len espies. I el vell delicte del robatori de dades.
Al gener, una persona anònima feia públiques mig milió d'imatges tretes de perfils suposadament privats de MySpace. No era la primera vegada. Per les mateixes dates, el diari The New York Times denunciava que Facebook no esborra dels seus servidors la informació personal dels comptes que es donen de baixa, exposant-la als intrusos.
Els criminals comencen a aprofitar també la creixent popularitat dels vídeos a la web. A MySpace ja s'han vist pel·lícules a Quicktime que descarreguen troians. L'any passat, un investigador avisava dels molts forats a YouTube que permetrien injectar codi maliciós a les seves pàgines, o vídeos que infectarien només mirant-los encara que, explica Corrons, "YouTube elimina els vídeos sospitosos".
L'ham de YouTube
A la vora creixen nous estratagemes, assegura l'expert: "Estem observant l'ús de vídeos legítims de Youtube per fer passar inadvertit un codi maliciós. Imaginem que rebem un correu brossa d'una noia que vol conèixer gent i, per poder veure-la, hem de executar un fitxer. Quan ho fem, ens redireccionarà a un vídeo legítim de Youtube, perquè no sospitem res mentre se'ns instal·la el codi".
A més d'infectar les pàgines on acudeix la gent, els criminals infecten de cop milers de llocs legítims, assaltant el servidor que els allotja. Són els anomenats "hacks en massa" el màxim exponent del qual va ser l'eina MPack, que entre abril i maig va infectar 400.000 webs.
L'objectiu dels criminals de la Web 2.0 és, segons Corrons, "ampliar les seves xarxes de els robots i obtenir claus daccés a comptes bancaris. Normalment, instal·len un troià que anirà descarregant més codi maliciós a l'equip segons les necessitats del seu creador". El lucre és sempre present: "A vegades de forma directa, com els troians bancaris. Altres poden trobar informació d'hàbits d'ús d'Internet”.
La causa d'aquest problema és “l'augment de la complexitat de les aplicacions web i la falta de conscienciació i formació en seguretat dels seus programadors", assegura Chelo Malagón, d'IRIS-CERT. Corrons culpa també els internautes: "En la majoria de casos, no tenen els seus sistemes actualitzats o són enganyats perquè executin fitxers maliciosos i donen massa informació als seus perfils de les xarxes socials".