Defacements en 2009

Según wikipedia, defacement es una palabra inglesa que significa desfiguración y es un término usado en informática para hacer referencia a la deformación o cambio producido de manera intencionada en una página web por un atacante que haya obtenido algún tipo de acceso a ella, bien por algún error de programación de la página, por algún bug en el propio servidor o por una mala administración de este. El autor de un defacement se denomina defacer.

Hay muchos tipos diferentes de ataques que los hackers pueden llevar a cabo con el fin de tener un control total o parcial de un sitio web. En general, los más comunes y peligrosos son los de inyección de SQL(una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro de otro código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código "invasor" en la base de datos.) y los de cross-site scripting (XSS)( es un tipo o agujero de seguridad basado en la explotación de vulnerabilidades del sistema de validación de HTML incrustado).

Las webs más atacadas son las que para proporcionar servicios a los usuarios ofrecen un alto grado de interactividad con los mismos y ahí es donde empiezan a surgir los “agujeros de seguridad”. El fin del hacker puede ser el de tener el control total o parcial del sitio web. Generalmente estos ataques son proclamados por sus autores y raras veces se deja en el anonimato su autoría.


Figura 1: Defacement de Ciber Protesta Mexicana
La mayoría de estos ataques vienen motivados por algún tipo de reivindicación. A lo largo del año 2009 se han dado numerosísimos ataques a diferentes sitios web. He podido comprobar que el tema más frecuente suele ser el político y con una alta incidencia en organismos de los gobiernos: contra el gobierno colombiano (a través de la web de una de las principales cadenas de televisión), contra la web oficial del Gobierno de Venezuela, contra la alcaldía de Bogotá (aunque este ataque no era originado por gente del propio país, sino del vecino Ecuador), contra el web site de la Ciudad de Buenos Aires protestando por “El Impuestazo”, una protesta muy sonada fue la aparecida en México, en el que hubo un múltiple ataque a sitios gubernamentales y medios de información …

Otro de los ataques más importantes del año fue el sufrido por el portal de una de las redes sociales más famosas del mundo (si no la que más) Twitter, efectuado por el ciberejército iraní, el cual provocó una indisposición parcial del sitio web en el que se vieron comprometidos temporalmente los registros DNS; supuestamente fue una protesta sobre la posible manipulación de los resultados electorales en Irán que se hizo a través del destacado portal.


Figura 2: Defacement web Maradona
Con la política como motivación tampoco de estas ciberagresiones se han librado ni servidores de dominios regionales (NIC) como los de Puerto Rico, Ecuador, o Marruecos ni multinacionales como Microsoft, Coca Cola o Nokia (las cuales fueron carne de cañón de una inyección SQL, causa impropia para unas empresas de esa envergadura).

Otras motivaciones de estos ataques suelen ser las socioculturales. Quejas sobre un servicio de telecomunicaciones insatisfactorio (como en Argentina) son un ejemplo más a sumar a la lista. El mundo del deporte no se iba a librar de esta ciberguerrilla, varios clubes de fútbol sudamericanos han sido objetivos de un defacement, e incluso ha habido una serie de piques entre seguidores, como el que hubo entre peruanos y argentinos. Los argentinos atacaron la web de la Federación Peruana de Fútbol a lo que los peruanos respondieron atacando a la web de Diego Armando Maradona.

Personajes públicos también han sido víctimas de este tipo de ataques. El nombrado ya Diego Armando Maradona que, aparte del de Perú, ha sufrido otros como el que aparecía vestido con la camiseta de su eterno rival (Brasil) tras poner en riesgo la clasificación para el mundial. Como no, Bill Gates (famoso magnate informático denostado por los defensores del software libre) ha sido objeto de burla en un defacement que se hizo sobre una página de Microsoft en la que se colgó un montaje con una fotografía suya y ni Kevin Mitnick, uno de los hackers más famosos del mundo que se pasó al “lado oscuro” de la seguridad informática, se ha librado de uno de estos ataques.

También han existido defacements “discutibles”, como el que sufrió el sitio web de Promusicae. Posteriormente al hacerse notorio este ataque se publicó, y cito textualmente: “La verdad es que el deface en si mismo es extraño, usando métodos poco habituales y con algunos signos en que deja abierta la posibilidad a que haya sido autoinfligido en un intento de llamar la atención, manipular hechos y hacer falsas acusaciones (como ya está sucediendo).”

Ingeniería social

A día de hoy los ataques por defacement siguen multiplicándose, y haciéndose cada vez más notorios, lo que está generando una opinión en la calle. La gente que ve publicado en los periódicos estos sucesos puede verlo como “azañas” y los autores se ven alentados por ellos. Por el contrario esto también puede ejercer en la sociedad una sensación de indefensión ante las nuevas tecnologías que avanzan cada vez más rápido y al poder que se otorgan a sí mimos ciertas personas.

Reacción del “Inframundo” cibernético

Utilizando cualquier buscador y utilizando las palabras clave adecuadas se puede acceder a una gran cantidad de información acerca de cómo transgredir páginas web y hacer un defacement “fácilmente”, y eso está al alcance de cualquiera.

Esto ha creado un debate en el “mundillo” hacker a favor y en contra de estas publicaciones. Hay quien opina que el fin justifica los medios y hace uso de su libertad de expresión y publicación, y por otro lado hay quien está en contra y ya han dado varios golpes encima de la mesa haciendo ver que de esa forma no van por el buen camino como ocurrió con el defacement que se produjo contra uno de los hosts de imágenes más grandes del mundo, Imageshack, publicando un manifiesto en contra de la publicación de vulnerabilidades.

En conclusión, defacements ¿delitos o justicia?, defacers ¿héroes o villanos?

Este artículo ha sido realizado por Jacobo Expósito, alumno del Master Universitario de Seguridad de las Tecnologías de Información y Comunicaciones.

Saludos Malignos!