Instalación y configuración de Computadores y Periféricos
Escuela Técnica de Ingeniería Informática de Gijón
3º Ingeniería Técnica en Informática de Sistemas

Evaluación y comparación de herramientas anti-spyware

Autores: Juan Sordo Barreiro, Javier Suárez García, Eduardo Sariego García

Fecha: 21 de mayo de 2004

Ver o hacer comentarios sobre este trabajo
Índice de todos los trabajos

Objetivos

Los objetivos de este trabajo son principalmente la prueba de diversas herramientas anti-spyware (tanto en la busqueda de software espía y su limpieza como en la prevención de contagio), así como la comparación entre ellas mismas.

Teoría básica

Se denominan Spyware a aquellos archivos o aplicaciones de software que son instalados en el sistema sin el consentimiento o autorización de los usuarios o después que los mismos acepten las "Condiciones de uso" de un programa (muchas veces detalladas sólo en inglés a pesar de que el programa entero esté traducido). Incluso algunos programas anti-spyware también te instalan su propio software espía.

Dichos archivos, una vez instalados en el sistema, se ejecutan en background ("segundo plano") cuando los usuarios se encuentran conectados a Internet.

El Spyware existe como un programa independiente en el sistema y puede realizar todo lo que pueda hacer cualquier otro programa; como por ejemplo:

De esta manera el Spyware recopila información acerca de nuestro comportamiento en la red, así como por ejemplo del Software que tenemos instalado, para 'telefonear a casa' e informar al autor del Spyware de nuestros hábitos.

Generalmente los autores de dichos programas guardan toda esta información en una base de datos con fines comerciales, y puede ser distribuidas a terceros (empresas que posteriormente bombardearán nuestro correo con publicidad acerca de elementos hardware, consumibles, periféricos, pornografía, ...)

De ahí provienen esos mensajes que siempre encontramos en el correo ofertandonos lamparas maravillosísimas y de los cuales nos preguntamos como han conseguido nuestra cuenta de correo; o esos e-mails engaña-bobos que te envía un conocido y en realidad contiene cualquier tipo de virus (sí, los Spyware también toman nota de las direcciones de nuestra libreta de idems).

Un tipo bastante dañino de Spyware son los dialers. Llaman automaticamente a un número 906 engañando al usuario con acceso directo y sin controles a pornografía, para que luego te llegue una factura cachondísima de telefono.

Es curioso como las compañías antivirus no utilizan la misma política para los Spyware y para los Troyanos (teniendo un comportamiento tan parecido).

La clasificación utilizada por los antivirus es que se considera Troyano cuando además de servir para recabar información, se ejecuta también silenciosamente en el ordenador de la víctima. La ironía es bastante grande cuando no se considera Troyano un Spyware que se auto-instala en nuestro ordenador sin pedirnos ningún tipo de permiso (así van las cosas).

Por último señalar que otros tipos de "archivos maliciosos" (por no llamarlos VIRUS) que se han vinculado bastante con los Spyware debido a su comportamiento parecido (instalados sin consentimiento y fuentes de publicidad) son los Adware y los Web-bugs.

Una vez instalados los Adware permiten visualizar los banners publicitarios de muchos programas gratuitos mientras estos son ejecutados. Pero es importante mencionar que no siempre las aplicaciones FREEWARE contienen este tipo de archivos, amén de que no son las únicas (véase "El Imperio" Microsoft).

Los Web-bugs son imagenes incrustadas en un documento html. Resultan invisibles al visitante ya que su tamaño es inapreciable (a veces son de un pixel de tamaño, en formato GIF y transparentes), aunque tambien pueden presentarse en forma de código JavaScript de poco tamaño. Si la página es descargada, o el correo abierto, el Web Bug puede ser rastreado por la compañía emisora, lo que proporciona información sobre la actividad del usuario en la red.

Configuración de partida

Para realizar el trabajo vamos a partir de un ordenador con un procesador Athlon a 900, y 384 Mb de memoria SDRAM en el cual realizaremos una partición primaria de 4 Gb. En dicha partición instalamos un SO "propenso" a este tipo de archivos de espía como es Windows 98 y navegamos por la red durante un periodo de tiempo para infectar a conciencia dicha partición. También instalaremos programas que se sabe tienen Spyware como pueden ser Kazaa, AudioGalaxy o RealPlayer.

Las herramientas anti-spyware que hemos analizado son las siguientes :

Herramientas todas ellas de libre distribución (en algunos casos hemos trabajado con la versión de libre distribución aunque tambien las hay de pago) y descargadas de la red.

En el caso del Max Net Shield v2.1, dado que se trata de una abstración del Spy Killer v2.1 hemos decidido no analizarlo, ya que toda su funcionalidad y potencia es igual.

Desarrollo

Primer paso : Instalación

Como primer paso tomamos la instalación de los diversos programas en el ordenador. Se evaluan la facilidad de instalación, así como la rapidez y el espacio ocupado en disco.

Ad-aware 6 Personal (Lavasoft) :

Excelente facilidad de instalación y gran rapidez(lo único que requiere el programa para su instalación es la ruta en la cual instalarlo como muestra la imagen). Ocupa en disco 1.85 Mb

Opciones Ad-aware Pulsar para ver en grande

BHO-Demon 1.0 :

Excelente facilidad de instalación y gran rapidez. Se nos pide una ruta para su instalación y se nos propone la creación de diversos iconos para lanzarlo más rápidamente bien desde el escritorio o desde el menú de inicio. Ocupa 354 Kb.

Opciones BHO Pulsar para ver en grande

Hijack-This v1.97.7 :

No necesita instalación, ya que es un ejecutable; por lo que puede ser aconsejable para aquellos que no deseen llenar más su ordenador de programas.

Spybot - Search & Destroy 1.2 :

Este programa es el que más opciones tiene para su instalación (y no es que sean muchas); se puede escoger entre varios tipos de instalación, como pueden ser Full instalation, Full instalation for blind users, Compact installation (no additional languages) y Custom instalation.En realidad todas ellas son las distintas combinaciones de escoger entre dos paqueres de instalación: Icons for blind users y Additional languages. Dependiendo de las opciones que se cojan puede llegar a ocupar en disco entre 6.5 y 7.8 Mb.

Licencia del Spybot Pulsar para ver en grande

Spy Killer v2.1 :

Como no podía ser de otra manera, la instalación de este programa es sumamente fácil y rápida. El tamaño que ocupa en memoria es de 6976 Kb.

SpywareBlaster v3.1 :

La instalación en este caso también es muy sencilla y rápida, teniendo que aceptar un contrato e informandote de los servicios del producto en un documento amén de darte unos consejos acerca de su utilización. Ocupa 3.7 Mb en disco.

Información del SpywareBlaster Pulsar para ver en grande


En general podemos observar que los programas anti-spyware tienen una instalación muy simple (fenomenal para los usuarios poco o nada avanzados), y rápida; y ocupan muy poco espacio en memoria, por lo que mantener uno instalado no nos supone un gasto muy grande, sobre todo teniendo en cuenta que nos protegen de una amenaza muy presente hoy en día en Internet.


Aspecto del ordenador con programas instalados Pulsar para ver en grande

Segundo paso : Funcionamiento

En el segundo paso evaluamos el funcionamiento del programa. Se evaluan la simplicidad, potencia e información que nos ofrece el programa.

Ad-aware 6 Personal (Lavasoft) :

Este es quizás uno de los programas anti-spyware más extendidos y populares que existen. Su manejo es bastante sencillo, aunque presenta un problema: a la hora de eliminar los archivos no indica que éstos pudieron ser introducidos por un programa que el usuario halla instalado y si se borra el programa deje de funcionar.

Ad-Aware Pulsar para ver en grande

Al ser arrancado aparece una pantalla con un pequeño historial, en el que se puede observar, por ejemplo, la última vez que se escaneó el sistema o la cantidad de archivos eliminados. En esta pantalla se pueden observar a la izquierda varios botones que nos trasladan por las pantallas y en la parte superior existen varios iconos para configurar las opciones y para obtener información.

Ad-Aware Pulsar para ver en grande

Al pulsar el botón start o el botón scan now de la parte izquierda accedemos a esta pantalla, desde la cual se puede elegir el modo de escaneo a emplear. Para realizar el testeo elegimos la opción intermedia, el modo personalizado.


Ad-Aware Pulsar para ver en grande

En esta ventana se procede a la busca y captura del software espía existente en el sistema. Al finalizar nos muestra varios datos, como el número de objetos encontrados y el número de objetos ignorados (un dato bastante curioso).

Ad-Aware Pulsar para ver en grande

Al pasar a esta pantalla por fin podremos saber que agentes están espiando nuestro ordenador. Se puede observar que aparecen varios archivos de un mismo software espía, y que incluso aparece un archivo del propio Windows. Aquí se pueden poner los archivos que se quieran en cuarentena, pero hay que tener cuidado, porque una vez eliminados no se podrán recuperar y podrían dejar de funcionar ciertas aplicaciones.

BHO-Demon 1.0 :

Este programa, no demasiado eficiente, se basa únicamente en una ventana, con un diseño no muy complicado precisamente. La mayor parte de la pantalla se encuentra ocupada por una tabla en la que aparecen los archivos encontrados, sin especificar demasiados detalles sobre ellos. Si se selecciona uno de los registros y se pueden obtener detalles mediante el botón de la derecha.

BHODemon Pulsar para ver en grande

Este programa en realidad no elimina el software espía. A partir de la ventana del mismo se obtiene la información de los .DLL´s que pueden ser sospechosos. El usuario ha de buscar datos sobre estos, y en caso de que pertenezcan a un programa espía, desactivarlos.

Hijack-This v1.97.7 :

Ésta aplicación, como ya se dijo con anterioridad, consta únicamente de un ejecutable. Al ser lanzado, nos aparece una simplona pantalla casi totalmente en blanco. Pero hay una serie de botones de comando interesantes. El más importante, como muestra su texto en negrita, es "Scan". Al pulsarlo se desencadena una frenética busqueda de software maligno sobre nuestro sistema. Antes de que podamos parpadear, se nos mostrará una lista con los items encontrados, cada uno acompañado de un checkbox.

Hijack-This Pulsar para ver en grande

Al hacer clic sobre cada elemento y pulsando sobre "Info on selected item", obtenemos una descripción detallada de  sus efectos nocivos y modo de ataque.

Hijack-This Pulsar para ver en grande

Activando el checkbox de cada item y accionando "Fix checked", dicho item será eliminado y sus efectos nocivos desaparecerán. Ahora bien, el propio Hijack-This realiza  un backup de cada elemento por si algún programa dejara de funcionar, lo que posibilitaría su restauración.

Mediante el botón "Config" se pueden modificar las preferencias de la aplicación como si se desea ignorar ciertos items, generar ficheros de log o vaciar la lista de backups, entre otras.

Spybot - Search & Destroy 1.2 :

Nos encontramos ante una de las herramientas antispyware a priori más completas. Permite al usuario alternar el idioma de la interfaz entre nada menos que 33 lenguas, desde el húngaro hasta el chino tradicional.

Search & DestroyPulsar para ver en grande


Una barra al estilo Microsoft Outlook, nos muestra varios botones. "Search & destroy" comprueba su base de datos y detecta los ítems peligrosos, que posteriormente pueden ser eliminados de manera individual o todos a la vez. "Recuperar" permite deshacer las últimas eliminaciones efectuadas en caso de que el sistema se volviera inestable con posteridad. La muy interesante característica "Inmunizar" previene la infección de cara al futuro frente a un importante número de programas spyware.

Search & DestroyPulsar para ver en grande

"Actualización" accede a internet y permite reconstruir periódicamente la base de datos con protección frente a las nuevas amenazas que hayan surgido.

Ocupa unos 10 Mb de memoria RAM al ejecutarse, aunque afortunadamente no es necesario tenerlo residente.

Spy Killer v2.1 :

Al iniciar el sistema, este programa se ejecuta por defecto y un icono informa de su presencia en el área de notificación de la barra de tareas. Si lo abrimos, aparecerá la pantalla principal ante nosotros. En la parte de la izquierda, un árbol jerárquico nos permite seleccionar los elementos a analizar: memoria, registro de Windows (rápido o completo) o unidades de disco.

Spy Killer Pulsar para ver en grande

En la parte de la derecha nos encontramos los botones habituales de los programas antispyware: "Scan now", para analizar y eliminar los items elegidos.

Spy Killer Pulsar para ver en grande

"Backups", para gestionar copias de seguridad de los elementos que sean eliminados y "Configuration", para otras opciones como la lista de excepciones o el inicio automático durante el arranque del sistema.

SpywareBlaster v3.1 :

Es importante recordar que este programa no es una herramienta anti-spyware en el sentido de que no los detecta y borra del ordenador, sino que únicamente les impide el paso.

SpywareBlaster Pulsar para ver en grande

Se trata de un programa bastante interesante y que además está acompañado de un interfaz bastante agradable y sencillo. Esto se puede observar en la pantalla inicial en la que se encuentra el estado de las opciones de seguridad actuales. En la parte superior aparecen varios botones para ir a la configuración personalizada de la seguridad para programas como el internet explorer o el mozilla, además de tener una lista de sitios restringidos.

SpywareBlaster Pulsar para ver en grande

Como se puede observar en el ejemplo de la configuración del explorer, un usuario sin los suficientes conocimientos podría meter la pata con bastante facilidad. Esto también ocurre con las ventanas del mozilla y de los sitios restringidos. Esto podría parecer una contradicción con lo dicho anteriormente sobre la facilidad de uso del programa. Nada más lejos de la realidad. Estas pantallas son bastante útiles y fáciles de usar para un usuario abezado, mientras que un usuario inexperto puede elegir el activado y la desactivación de toda la seguridad en la pantalla inicial de estado.

SpywareBlaster Pulsar para ver en grande

En la parte izquierda de la aplicación aparecen varias pestañas. Hasta ahora nos habíamos movido por la superior, pero en el resto existen dos que cabe destacar. La inmediatamente inferior a la principal, llamada system snapshot. Desde aquí se pueden crear y restaurar backups de las configuraciones. Esta herramienta es bastante útil, ya que si se modifica la configuración y el sistema se infecta con spyware, desde aquí se puede recuperar la configuración anterior.

SpywareBlaster Pulsar para ver en grande

Por último también cabe destacar la pestaña tools, ya que las otras dos son las típicas para buscar actualizaciones y para obtener información de la versión del programa. Como decía, la pestaña tools también interesa debido a que aquí se pueden configurar varias opciones de las páginas, así como opciones adicionales del explorer entre otras cosas, ya que esta pestaña, al igual que la inicial, también contiene varias pantallas, accesibles desde los botones de la parte superior. Habría que indicar que no sería muy recomendable que un usuario inexperto "investigara" entre estas opciones, ya que podría parámetros sin darse cuenta.

Tercer paso : Pruebas de reconocimiento

Este es el paso más importante. Realizamos pruebas con los diversos programas para comprobar si son capaces de detectar diversos Spyware que existen en la maquina a fin de comprobar su potencia. Entre los diversos programas espía incluimos algunos de los más famosos y extendidos como pueden ser:

además de otros programas como My-Way, Alexa, ...

Ad-aware 6 Personal (Lavasoft) :

Como hemos podido comprobar, este es el programa más útil y potente a la hora de analizar nuestro sistema buscando archivos espía.

Básicamente Ad-aware escanea en nuestro disco duro y en el registro de Windows (la zona de windows donde se guardan nuestras preferencias sobre los programas que utilizamos sin que nosotros lo sepamos) programas maliciosos o entradas en dicho registro sospechosas de ser spyware. Nos permite escoger entre muchas opciones de configuración.

Opciones de scaneado de Ad-aware Pulsar para ver en grande

El escaneado lo podemos hacer de tres formas: Por defecto (recomendado), de algún disco duro en particular, o escaneado rápido.

Discos a escanear en Ad-aware Pulsar para ver en grande

Al escoger la opción "Select drives/folders to scan" nos aparece un menú en el que podemos detallar cuales son los discos en los que queremos realizar el scaneo.

Discos a escanear en Ad-aware Pulsar para ver en grande

Una vez está configurado el escaneo, el programa iniciará un proceso que dependiendo de nuestro ordenador y disco duro podrá durar de unos segundos a algunos minutos. El ordenador se ralentiza mientras escanea. Finalizada esta operación, si tienes spyware te los mostrará en pantalla y te dirá que si los quieres dejar en cuarentena. Su funcionamiento es extremadamante sencillo.

Los resultados son bastante buenos. El programa encuentra todos los Spyware existentes en nuestro ordenador, aunque la forma de mostrar los resultados puede ser un poco escandalosa y alarmante, ya que identifica como objetos peligrosos todos los archivos que forman parte del Spyware y los muestra por pantalla.

Resultados de Ad-aware Pulsar para ver en grande

Se puede eliminar los archivos que creas conveniente, aunque algunas limpiezas impiden la ejecución de los programas que incluyen dichos archivos espía. En algunos casos no podrá eliminar los archivos mientras el ordenador esté en funcionamiento por lo que te permite la opción de dejarle eliminarlos al reiniciar.

Reinicio en Ad-aware Pulsar para ver en grande

Señalar por último que este programa no reconoce ni elimina troyanos.

BHO-Demon 1.0 :

Dentro de los programas que hemos analizado, este es uno bastante peculiar. Localiza archivos de tipo BHO (Browser Helper Object), que son aquellos programas que se ejecutan automaticamente cada vez que entras en Internet, como por ejemplo los Spyware o los Adware.

El programa se ejecuta automáticamente al encender el ordenador y se mantiene en segundo plano. Al iniciarse muestra una lista con los BHO´s encontrados. En nuestro caso muestra un par de .DLL´s que se corresponden con alguno de los Spyware de nuestro sistema. Lo único que podriamos hacer es desactivar dichos .DLL´s, pero no indica los demás archivos del espía que continuarían instalados. Además alguno de los espías pasa inadvertido para este programa.

Resultados de BHO-Demon Pulsar para ver en grande

Hijack-This v1.97.7 :

Este programa realiza una busqueda bastante simple (por no decir nula) en lo que se refiere a archivos peligrosos.

Simplemente examina algunas áreas del "Registro de Windows" y del disco duro que son propicias a este tipo de archivos y muestra todos los resultados. Dado que está pensado en que los distintos internautas se ofrezcan ayuda por los foros, permite hacer un archivo de texto donde copia los archivos mostrados, y que puede ser copiado para pedir ayuda por el foro al preguntar cuales de esos archivos se pueden borrar. Por lo tanto la busqueda no es muy satisfactoria.

Resultados de BHO-Demon Pulsar para ver en grande

Spybot - Search & Destroy 1.2 :

El programa comienza con un par de avisos interesantes. Por ejemplo te informa del hecho de que si borras determinados archivos espías (o "robots" como dice la traducción), el "programa anfitrión" puede dejar de funcionar. Otro de los interesantes avisos, es de problemas de compatibilidad; ya que al parecer si está instalado el Ad-Aware, puede encontrar archivos sospechosos en el Spybot (aunque se molesta en avisar concienzudamente de que estos archivos no son archivos espía).
Aviso I de Spybot Aviso II de Spybot
Pulsar para ver en grande Pulsar para ver en grande

Se nos permite realizar bastantes modificaciones en la configuración, de manera que la busqueda que realice se haga de acuerdo a nuestros intereses.

Opciones de Spybot Pulsar para ver en grande

En cuanto a la busqueda que realiza este programa, se puede decir que es bastante aceptable. Aunque no llegue al nivel del Ad-Aware, se le aproxima suficiente. Ha encontrado todos los archivos espía que había en el sistema, pero no todos los ficheros pertenecientes a dichos archivos, con lo que al borrar quizás algo se quede en el tintero.

Resultados de Spybot Pulsar para ver en grande

Una de las mejores cosas que tiene el programa es la capacidad de "Solucionar problemas" (un nombre bastante bien escogido para el botón de borrado de Spyware´s). Limpia y da esplendor al ordenador creando muy pocos problemas gracias a la opción de "Inmunizar".

Inmunización I de Spybot Inmunización II de Spybot
Pulsar para ver en grande Pulsar para ver en grande

Por cierto, lo máximo que se podría cargar uno con este programa sería alguna cookie que se utilizase para recordar la contraseña en algún sitio, y cosas así; y en el peor de los casos se podrá recuperar mediante la opción del mismo nombre.

Spy Killer v2.1 :

Al igual que otros programas, este también se ejecuta cada vez que se enciende el ordenador. Es bastante eficiente en la detección de archivos espía, pero no todo lo bueno que llega a ser Ad-aware o Spybot.

Entre otras opciones permite escoger los discos que se desea escanear, permitiendo escoger el "Registro de Windows" como una de las opciones (uno de los sitios donde trabajan los Spyware) y dejandonos realizar un escaneado "profundo" del mismo.

Escaneado de Spykiller Pulsar para ver en grande

Al igual que en el caso del Spybot, reconoce la mayoría de los archivos espía; pero se deja muchas cosas sin localizar y el borrado es bastante ineficiente.

Resultados de Spykiller Pulsar para ver en grande

SpywareBlaster v3.1 :

En este caso actuamos de una manera diferente, ya que, como hemos dicho anteriormente, este es un programa que no escanea en busca de Spyware y los elimina; sino que previene de que no se instalen en el ordenador.
Por lo tanto hemos decidido tenerlo activo durante un determinado tiempo mientras navegabamos por la web y hemos podido comprobar como inhabilitaba la entrada de todo tipo de software espía. Se puede habilitar o deshabilitar para los distintos navegadores.

Resultados de Spybot Pulsar para ver en grande

Cuarto paso : Desinstalación

En este último paso se valorará la facilidad de desintalación (es decir, si el programa deja "restos" en nuestro ordenador)

Ad-aware 6 Personal (Lavasoft) :

La opción de desinstalado del programa apareceentre las opciones de la carpeta que crea (Lavasoft Ad-aware 6) en el menú de inicio, con lo que no es dificil de encontrar. Tenemos tres opciones posibles:
  1. Automatic : Elimina todos los archivos de forma automática, pero deja la carpeta creada en el menú de inicio vacía (lo cual es bastante inútil) y deja algunos archivos sin desinstalar.
  2. Custom : Te da la posibilidad de eliminar tu los archivos que creas conveniente.
  3. Repair : Repara una instalación fallida del programa.

BHO-Demon 1.0 :

Al igual que Ad-aware 6, la opción de desinstalado del programa se encuentra en la carpeta que crea en el menú de inicio. Lo único que requiere es una confirmación por parte del usuario de que se desea borrar todos los archivos. También deja un par de archivos sin desinstalar.

Hijack-This v1.97.7 :

Dado que no ha sido necesaria una instalación, el programa no deja restos en el ordenador.

Spybot - Search & Destroy 1.2 :

Fácil y completa desinstalación.

Spy Killer v2.1 :

Fácil y completa desinstalación.

SpywareBlaster v3.1 :

En este caso, no se crea un acceso directo en su menú para el programa de desinstalación, que se encuentra en la carpeta donde está instalado el programa. En todo caso la desinstalación es completa.

Enlaces

Aquí estan algunos enlaces y articulos interesantes acerca de este tema:

Conclusiones

Una de las conclusiones es que como en casi todo en esta vida lo más importante para no infectarte es prevenir. Lo primero que se debería hacer es cambiar la configuración de seguridad de nuestro navegador; ya que por defecto los fabricantes dejan la seguridad en niveles bajos, confiando en que los usuarios lo ajustará con posterioridad según sus necesidades, pero pocos lo hacen.

Algo muy a tener en cuenta es el nivel de peligrosidad del software espía. Aunque en un principio parece poco peligroso (en cuanto a la seguridad de nuestro ordenador, ya que en el tema de la privacidad son de lo más peligrosos), pueden llegar a consumir recursos y entorpecernos en nuestro trabajo.

Por último señalar que como hemos presentado en este trabajo, hay muchas herramientas contra este tipo de virus, muy potentes y de uso simple, y que nunca está de más tenerlas instaladas para que nos quiten muchos dolores de cabeza.