Los Spammers continúan innovando: Un estudio de IronPort demuestra que las amenazas más recientes para los usuarios de correo electrónico son las imágenes spam.

El procesador antispam de IronPort siempre va un paso adelante de los spammers y sus nuevas tácticas.

San Bruno, California. (PRWEB / PRWEB) July 4, 2006 -– IronPort® Systems Inc., líder en seguridad de portales de Internet, dio a conocer el día de hoy una nueva investigación de la industria que refleja un aumento en el uso de “imágenes spam”, la cual es una nueva técnica avanzada que han adoptado los spammers para evitar ser detectados. Las imágenes spam pasan desapercibidas por las soluciones tradicionales de escaneo de contenido y no presentan ningún tipo de texto que pueda analizarse, por el contrario, incluyen archivos .gif o .jpeg. Estas imágenes incluyen los mensajes spam en forma de texto y gráficos como si fueran correos de HTML, lo que dificulta que la máquina reconozca el texto. Este tipo de spam ha aumentado de manera sorprendente, de menos de 1 por ciento en junio de 2005 a más de 12 por ciento en junio de 2006. Esto representa más de cinco mil millones de mensajes con imágenes spam enviados diariamente, 78 por ciento de los cuales pasan desapercibidos por los filtros de spam de primera y segunda generación. El estudio se realizó utilizando de la red SenderBase, la cual representa el 25 por ciento de la información del tráfico mundial de correo electrónico proveniente de más de 100,000 ISPs, universidades y empresas alrededor del mundo.

El spam es más inteligente.

"A través del procesamiento de miles de millones de mensajes de correo electrónico, IronPort es capaz de identificar anomalías en el email”, señaló Tom Gillis, Vicepresidente Senior de Mercadotecnia Global de IronPort. “A través de la táctica de imágenes spam, los spammers están utilizando métodos sofisticados para hacer que las imágenes presenten cambios imperceptibles en cada uno de los ataques de spam, estos cambios no son detectados por los usuarios finales y son totalmente invisibles para los filtros comerciales. Es como tratar de diferenciar copos de nieve durante una tormenta, existen miles de millones de ellos pero ninguno es idéntico a otro”.

La tecnología antispam tradicional se basa en el análisis de las palabras de los mensajes y utiliza una variedad de complejos mecanismos de clasificación, intentando determinar si se trata de mensajes spam o no. Si el mensaje contiene las palabras “Viagra,” “herbal” y “free”, entonces se trata de un correo spam. El problema con este método es que es muy fácil para los spammers disfrazar las palabras para evadir dichos filtros, y estos a su vez, eliminan periódicamente mensajes legítimos, lo cual resulta inaceptable para la mayoría de los usuarios. Los análisis comerciales disponibles han mejorado los filtros de contenido, pues revisan los patrones de datos de cualquier mensaje que parezca spam y filtran los mensajes que coinciden con determinadas características. Los principales filtros antispam se basan en el análisis de contenido utilizando diversos métodos.

El spam es más veloz.

Otra técnica utilizada por los spammers es el aumento significativo en la velocidad de los ataques sorpresa. Actualmente, más del 80 por ciento del spam proviene de PCs “zombis” (computadoras infectadas), generalmente se trata de una red de banda ancha secuestrada por spammers. Los spammers se mueven a través de las redes zombis cada determinado tiempo, cambiando constantemente las direcciones IP de donde se originan los ataques de spam. Asimismo, el spam que envían contiene ‘Web links’ o URLs que varían dentro de la misma frecuencia. En junio de 2005 la vigencia promedio de un dominio publicado en un mensaje “spam” era de 48 horas, tiempo suficiente para que las “listas negras” estáticas del URL identificaran y bloquearan los mensajes que contenían los Web links falsos. Sólo un año después, la duración promedio de un URL spam ha disminuido a menos de 4 horas. Esto significa que cuando las listas tradicionales de bloqueo identifican y registran un URL peligroso, el mensaje spam ya llegó a sus víctimas y el spammer puede continuar enviando spam desde un dominio nuevo.

El spam crece.

A finales de 2005 el volumen de spam seguía creciendo, pero la tasa de crecimiento empezó a disminuir (del 100+ por ciento que se había registrado y mantenido por dos años). Sin embargo, este respiro fue breve. Durante los últimos seis meses, el volumen de spam ha aumentado de manera impresionante. De abril a junio de 2006, en sólo dos meses, el volumen de spam ha aumentado 40 por ciento a nivel mundial. Asimismo, los spammers están precisando mejor la intensidad de sus ataques. Cuando los spammers más sofisticados lanzan una nueva ola de imágenes spam al azar, generalmente se enfocan en un área geográfica, un ISP o incluso una empresa en específico. Más del 25 por ciento de los clientes ‘Global 2000’ de IronPort han sufrido uno de estos ataques específicos de spam. Cuando esto sucede, es posible que hasta el 50 por ciento del spam que ingresa a la empresa sea de imágenes spam. Si el filtro que protege a dicha empresa no está equipado para detectar y bloquear estos ataques tan sofisticados, el spam satura a los usuarios finales todo el tiempo que dura el ataque, ocasionando severas interrupciones en la comunicación y una gran pérdida de productividad.

Los spammers también están explotando el sistema de registro de dominios, registrando dominios por cortos periodos de tiempo y dejando que expiren antes de pagar la cuota correspondiente. En abril se registraron más de 35 millones de dominios, de los cuales 32 millones expiraron cinco días después. Esto elimina prácticamente el costo de registro de dominios para los spammers, sobrepasando la capacidad de las listas negras tradicionales de URLs que no pueden actualizarse con la rapidez necesaria y seguir el ritmo del surgimiento de nuevos dominios. A continuación presentamos un resumen de estas tendencias:

Parámetro   Junio de 2005   Junio de 2006   Cambio
Incidencia de imágenes spam   1%   12%   12 veces mayor
Duración del URL Spam    48 horas   4 horas   12 veces más rápido
Volumen de Spam   30 mil millones   55 mil millones   83% más alto

Destrucción del Spam.

IronPort ha realizado una fuerte inversión en la tecnología más innovadora para estar siempre un paso adelante de los sofisticados ataques de spam, por lo que cuenta con el filtro de spam más preciso de toda la industria. El appliance de IronPort cuenta con ventajas de arquitectura que la hacen sumamente efectiva para la eliminación de imágenes spam. El procesador Context Adaptive Scanning Engine™ (CASE) de IronPort revisa todo el contexto del mensaje, analizando “Quién” lo envió, “Hacia Dónde” conduce a los usuarios finales, “Cómo” está estructurado (una técnica especialmente efectiva para eliminar imágenes spam), y “Qué” contiene. En términos más sencillos, si se trata de mensajes sin texto que utilizan un código de HTML que se asocia con correo spam, y provienen de un IP que es una red de banda ancha conocida que sólo ha enviado correos durante 30 minutos, entonces lo más probable es que sea un mensaje que no deben recibir los usuarios finales.

“El método de IronPort consiste en utilizar lo que llamamos Context Adaptive Scanning, que básicamente se trata de analizar las imágenes spam para identificar los patrones del mensaje, la reputación del remitente, si utilizó una dirección dinámica de IP, la forma en que el mensaje se estructuró y algunos datos adicionales”, señaló Michael Osterman de Osterman Research. “El método de IronPort es único y también busca patrones de color dentro de las imágenes que puedan denotar la presencia de texto, ya que la gran mayoría de imágenes válidas que se envían a través de correo electrónico, muy rara vez incluyen una cantidad importante de texto. Al utilizar estas técnicas, IronPort es capaz de detener aproximadamente el 98% de las imágenes spam y mantener la tasa más baja de falsos positivos de la industria”.

Reputación, no listas negras.

Uno de los elementos principales para el éxito de IronPort es la inversión que la empresa ha realizado en sistemas de reputación de correo electrónico y de Internet. La base de datos de reputación de IronPort presenta información y una “calificación de reputación” para cada servidor activo de sitios y de correos electrónicos de Internet. Esto hace posible que el appliance de IronPort analice la credibilidad de un remitente antes de clasificarlo definitivamente como correo spam. Esta técnica permite que IronPort maneje adecuadamente la ambigüedad, bloqueando nuevas amenazas basándose en la reputación del remitente, no sólo en el contenido del mensaje.

Eliminando la confusión
Prácticamente todos los proveedores de filtros antispam y antivirus han imitado a IronPort y dicen que cuentan con un sistema de “reputación”, pero en realidad la mayoría sólo utiliza listas negras. La diferencia radica en la precisión. Es gracias a la precisión de las appliances de IronPort que más de 250 millones de bandejas de entrada de correos electrónicos alrededor del mundo las han implantado, muchas más que cualquier otra empresa independiente de seguridad de correo electrónico.

Sobre SenderBase.

SenderBase es el primer y mejor servicio de monitoreo de tráfico de correo electrónico del mundo. SenderBase recopila datos de más de 100,000 ISPs, universidades y corporaciones del mundo. SenderBase evalúa más de 110 parámetros diferentes de todos los servidores de correo electrónico en Internet. Esta base de datos masiva recibe más de 5 mil millones de solicitudes al día y capta información en tiempo real de todos los continentes y proveedores de redes, grandes y pequeños. SenderBase cuenta con la visión más precisa de los patrones de envío de cualquier remitente de correo electrónico gracias a la magnitud de la base de datos, y asimismo, la base de datos es la más grande del mundo gracias a la precisión de dicha información. La comunidad de código abierto y otras instituciones que están participando en la lucha contra el spam pueden acceder a la información de SenderBase a través de IronPort.
Sobre IronPort Systems

IronPort Systems es el principal proveedor de seguridad perimetral para todo tipo de empresas, desde las más pequeñas hasta las Global 2000. La empresa ha desarrollado una serie de appliances de seguridad desde el gateway, incluyendo la appliance de seguridad de coreo electrónico IronPort C-Series y la appliance de seguridad de Internet IronPort S-Series. Todas las appliances de seguridad de IronPort ofrecen el mejor desempeño de la industria y utilizan SenderBase®, la mejor base de datos y red de monitoreo de amenazas de correo electrónico e Internet del mundo.

Para obtener información adicional sobre los productos y servicios de IronPort, visite la siguiente página: http://www.ironport.com/.