Introducción al malware
Anteriormente, aprendiste que el malware es un software diseñado para dañar dispositivos o
redes. Desde su primera aparición en computadoras personales hace décadas, se desarrolló una
gran cantidad de cepas de malware. Ser capaz de identificar diferentes tipos de malware y
comprender las formas en que se propagan te ayudará a mantenerte alerta y al corriente como
profesional de seguridad.
Virus
Un virus es un código malicioso escrito para interferir con las operaciones informáticas y causar
daños a los datos y al software. Para poder propagarse y causar daños, este tipo de malware debe
ser instalado por el usuario a quien el ataque apunta. Una de las muchas formas en que los virus se
propagan es a través de campañas de phishing, en las que se ocultan enlaces maliciosos dentro de
vínculos o archivos adjuntos.
Gusano
Un gusano es un software malicioso que se puede duplicar y propagar por sí mismo a través de
sistemas. De manera similar a los virus, un gusano debe ser instalado por el usuario a quien está
dirigido el ataque, y también se puede propagar mediante tácticas como el correo electrónico
malicioso. Dada la capacidad que tiene un gusano de propagarse por sí solo, los ataques a veces
están dirigidos a dispositivos, unidades o archivos que tienen acceso compartido a través de una
red.
Un ejemplo muy famoso es el gusano Blaster, también conocido como Lovesan, Lovsan o MSBlast.
A principios de la década de 2000, este gusano se extendió en computadoras con sistemas
operativos Windows XP y Windows 2000, y forzó a los dispositivos a un bucle continuo de apagado
y reinicio. Si bien no dañó los dispositivos infectados, logró extenderse a cientos de miles de
usuarios en todo el mundo. Desde el gusano Blaster original, se implementaron muchas variantes
que pueden infectar computadoras modernas.
Nota: Los gusanos fueron ataques muy populares a mediados de la década de 2000. Sin embargo,
desde hace unos años, se utilizan con menos frecuencia.
Troyano (caballo de Troya)
Un troyano, también llamado caballo de Troya, es un software malicioso (malware) que se parece
a un archivo o programa legítimo. Esta característica se relaciona con la forma en que los troyanos
se propagan. De forma similar a los virus, los atacantes entregan este tipo de malware oculto en
descargas de archivos y aplicaciones. Los atacantes se apoyan en el hecho de engañar a usuarios
desprevenidos para que crean que están descargando un archivo inofensivo, cuando en realidad
están infectando su propio dispositivo con malware que puede usarse para espiarlos, otorgar
acceso a otros dispositivos y más.
Adware
El software respaldado por publicidad, o adware, es un tipo de software legítimo que a veces se
utiliza para mostrar publicidad digital en las aplicaciones. Los desarrolladores de software suelen
usar el adware como una forma de reducir sus costos de producción o hacer que sus productos
sean gratuitos para el público, lo que también se conoce como “freeware” o “shareware”. En estos
casos, los desarrolladores monetizan su producto a través de los ingresos publicitarios en lugar de
cobrarles a sus usuarios.
El adware malicioso pertenece a una subcategoría de malware conocida como aplicación
potencialmente no deseada (PUA). Una PUA es un tipo de software no deseado que se incluye con
programas legítimos y que puede mostrar anuncios, causar la ralentización del dispositivo o
instalar otro software. Los atacantes a veces ocultan este tipo de malware en programas gratuitos
con diseño inseguro, para ser ellos quienes moneticen los anuncios, en lugar del desarrollador. Esto
funciona incluso cuando el usuario se ha negado a recibir anuncios.
Spyware
Al igual que el adware, el spyware es un tipo de software malicioso que se usa para recabar y
vender información sin consentimiento. También se considera un PUA. El spyware se oculta
comúnmente en el bundleware, un software adicional que a veces se incluye dentro de otras
aplicaciones. Los PUA como el spyware se han convertido en un serio desafío en el ecosistema del
desarrollo de software de código abierto. Esto se debe a que los desarrolladores tienden a no
considerar cómo otras personas podrían hacer un abuso o un mal uso de su software.
Scareware
Otro tipo de PUA es el scareware. Esta clase de software malicioso emplea tácticas para asustar a
los usuarios con el fin de que infecten su propio dispositivo. El scareware los engaña al mostrarles
advertencias falsas que parecen provenir de empresas legítimas. El correo electrónico y las
ventanas emergentes son solo algunas de las maneras en las que el scareware se propaga. Ambos
pueden usarse para entregar advertencias con afirmaciones falsas de que los archivos o los datos
del usuario están en riesgo.
Software malicioso sin archivos
El software malicioso sin archivos (o malware sin archivos) no necesita que el usuario lo instale
porque utiliza programas legítimos que ya están instalados para infectar una computadora. Este
tipo de infección reside en la memoria, por eso el malware nunca toca el disco duro. En este
sentido, es diferente de los otros tipos de software maliciosos, que se almacenan dentro de un
archivo en el disco. Estas infecciones sigilosas, en cambio, entran en el sistema operativo o se
esconden dentro de aplicaciones de confianza.
Consejo profesional: El software malicioso sin archivos se detecta mediante la realización de
análisis de memoria, para lo que se requiere de experiencia con sistemas operativos.
Rootkits
Un rootkit es un software malicioso que proporciona acceso administrativo y remoto a una
computadora. La mayoría de los atacantes utilizan rootkits para abrir una especie de puerta trasera
a los sistemas, lo que les permite instalar otras formas de malware o realizar ataques de seguridad
de red.
Este tipo de software malicioso suele propagarse por una combinación de dos componentes: un
dropper y un loader (cargador). Un dropper es un programa o archivo que se utiliza para instalar
un rootkit en un equipo de destino. Un loader es un código malicioso que se activa después de que
el usuario inicia un programa dropper.
Secuestro de datos (Ransomware)
El ransomware es un ataque en el que los agentes de amenaza cifran los datos de una organización
y exigen un pago (rescate) para restablecer el acceso a ellos. Según la Agencia de Seguridad de
Infraestructura y Ciberseguridad (CISA), los delitos de ransomware están en aumento y son cada
vez más sofisticados. Este tipo de infecciones puede causar un daño considerable a una
organización y a sus clientes. Un ejemplo es el ataque WannaCry, que encripta la computadora de
una víctima hasta que se paga un rescate en criptomonedas.
Botnet
Una botnet (“red de bots”) es un conjunto de computadoras infectadas con software malicioso que
están bajo el control de un solo agente de amenaza, conocido como el “bot-herder” (pastor de
bots). A menudo, los virus, gusanos y troyanos se utilizan para propagar la infección inicial y
convertir los dispositivos en un bot para el bot-herder. Luego, el atacante utiliza protocolos de uso
compartido de archivos, correo electrónico o aplicaciones de redes sociales para crear nuevos bots
y hacer crecer la botnet. Cuando un objetivo, sin saberlo, abre el archivo malicioso, la
computadora, o el bot, vuelve a transmitir la información al bot-herder, que puede ejecutar
comandos en la computadora infectada.
Conclusiones clave
Existe una variedad asombrosa de software malicioso que puede propagarse de múltiples maneras.
El malware es una amenaza compleja que puede requerir de una especialización propia dentro de
la ciberseguridad. El curso introductorio de INFOSEC sobre análisis de malware es un lugar posible
para aprender más al respecto. Incluso sin una especialización en el análisis de malware, reconocer
los tipos de software malicioso y cómo se propagan es una parte importante de la defensa contra
estos ataques, en tu trabajo como analista de seguridad.
