Rootkits, spyware y keyloggers

Mientras que muchos tipos de malware anuncian su presencia mediante daños visibles, existe una clase de software malicioso diseñado específicamente para permanecer oculto a los usuarios, administradores y herramientas de seguridad mientras cumple silenciosamente los objetivos del atacante. Los rootkits, el spyware y los keyloggers representan el extremo sigiloso del espectro del malware. Su eficacia depende de mantener la persistencia sin ser detectados: pueden permanecer activos durante meses o años, extrayendo credenciales y datos discretamente. Comprender sus técnicas de ocultación es esencial para la investigación forense y para seleccionar herramientas de detección capaces de encontrar lo que los análisis estándar no detectan.

Un rootkit modifica el sistema operativo o el software de bajo nivel para ocultar la presencia del atacante. El término procede de 'root' en Unix (el nivel de privilegios más alto) + 'kit' (conjunto de herramientas). Los rootkits interceptan funciones del sistema operativo para ocultar archivos, claves del registro, procesos y conexiones de red de las herramientas estándar de inspección del sistema. Un proceso que ejecuta un rootkit podría no aparecer en el Administrador de tareas, sus conexiones de red no se mostrarían en netstat y sus archivos no aparecerían en los listados de directorios, porque todas estas herramientas consultan el sistema operativo a través de las mismas API que el rootkit ha comprometido. Los rootkits son extremadamente difíciles de detectar desde el propio sistema operativo infectado.

Los rootkits se clasifican según el lugar del sistema en el que operan. Los rootkits en modo usuario (a nivel de aplicación) se ejecutan en el espacio de usuario e interceptan llamadas a las API; son los más fáciles de detectar y eliminar. Los rootkits en modo kernel operan con privilegios del sistema operativo y modifican las estructuras de datos del kernel; son muy sigilosos y necesitan un controlador o un exploit del kernel para instalarse. Un bootkit (rootkit del MBR) infecta el Master Boot Record o el Volume Boot Record y se carga antes que el sistema operativo, por lo que este no puede verlo durante su funcionamiento. Los rootkits de hipervisor (basados en máquinas virtuales) se sitúan por debajo del sistema operativo y ejecutan el sistema operativo original como una máquina virtual; en teoría, son indetectables desde el sistema invitado.

Debido a que los rootkits comprometen los propios mecanismos de información del sistema operativo, para detectarlos es necesario observar desde fuera del sistema operativo infectado. Entre las técnicas se incluyen: el análisis de vistas cruzadas (comparar directamente en memoria las estructuras de datos del kernel con lo que informan las API; las discrepancias revelan elementos ocultos), la verificación de integridad (comparar los hashes de archivos críticos del sistema con líneas base conocidas como legítimas y obtenidas de una fuente de confianza), el análisis sin conexión (arrancar desde una memoria USB limpia y analizar la unidad) y Secure Boot con atestación TPM (verificar criptográficamente que la cadena de arranque no se haya modificado). Entre las herramientas se incluyen GMER, Malwarebytes Anti-Rootkit y chkrootkit/rkhunter para Linux.

El spyware supervisa en secreto la actividad del usuario y transmite información al atacante sin su conocimiento ni consentimiento. Puede capturar el historial de navegación, las consultas de búsqueda, capturas de pantalla, el uso de aplicaciones y los datos de ubicación. Algunos programas espía se comercializan como «software de monitorización» para el control parental o la supervisión de empleados (aunque su legalidad varía según la jurisdicción). Los programas espía maliciosos son utilizados por delincuentes y Estados para extraer silenciosamente datos empresariales confidenciales, información personal y propiedad intelectual. El spyware suele distribuirse junto con software gratuito (PUP, programas potencialmente no deseados), lo que dificulta identificar su origen.

El stalkerware es un tipo de spyware diseñado para vigilar de forma encubierta a parejas, comercializado entre maltratadores como herramienta de vigilancia de la pareja. Captura la ubicación, las llamadas, los mensajes de texto y la actividad en redes sociales. El spyware comercial (como Pegasus, de NSO Group, Candiru y FinFisher) se vende a gobiernos y organismos encargados de hacer cumplir la ley y suele dirigirse contra periodistas, activistas y disidentes. Pegasus aprovechó vulnerabilidades de iPhone de tipo zero-click para instalarse sin interacción del usuario. La Coalition Against Stalkerware y los investigadores de seguridad han trabajado para añadir la detección de stalkerware a los productos antivirus convencionales. La detección suele requerir un análisis forense del dispositivo con herramientas como Mobile Verification Toolkit (MVT), de Amnesty International.

Un keylogger registra cada pulsación de tecla que realiza el usuario y captura contraseñas, mensajes, números de tarjetas de crédito y cualquier otro dato escrito. Los keyloggers de software operan en distintos niveles: hooks en modo usuario (API SetWindowsHookEx), controladores en modo kernel (más sigilosos) o hooks de captura de formularios que interceptan los envíos de formularios del navegador antes del cifrado. Los keyloggers de hardware son dispositivos físicos conectados entre el teclado y el ordenador, completamente invisibles para la detección basada en software. Almacenan las pulsaciones en la memoria interna para recuperarlas posteriormente. Las organizaciones que protegen áreas de alta seguridad deben inspeccionar periódicamente los puertos de hardware para detectar dispositivos no autorizados.

Los capturadores de formularios interceptan los datos enviados en formularios del navegador antes de que se cifren y se envíen por la red; capturan nombres de usuario, contraseñas y números de tarjetas de crédito en el momento de introducirlos. Zeus (Zbot), un conocido troyano bancario, utilizaba hooks de captura de formularios inyectados en los procesos del navegador. A diferencia de los sniffers a nivel de red, que HTTPS bloquea, los capturadores de formularios operan a nivel de aplicación, por lo que el cifrado resulta irrelevante. Normalmente interceptan funciones del navegador como InternetReadFile o se inyectan en la memoria del proceso del navegador. Las herramientas EDR modernas detectan la inyección de procesos y los patrones de interceptación de las API del navegador indicativos de actividad de capturadores de formularios.

El adware muestra anuncios no deseados y puede redirigir el tráfico del navegador para generar ingresos para sus operadores. Aunque es menos destructivo que otros tipos de malware, el adware reduce el rendimiento del sistema, vulnera la privacidad y crea riesgos de seguridad al redirigir a sitios maliciosos o distribuirse junto con software más peligroso. Los PUP (programas potencialmente no deseados) son programas que quizá el usuario no haya instalado intencionadamente y que a menudo se incluyen con software gratuito mediante diálogos de instalación engañosos. Los PUP ocupan una zona gris: quizá no sean estrictamente maliciosos, pero consumen recursos, vulneran la privacidad y crean una vía para infecciones más peligrosas.

Una vez que el malware se instala con privilegios suficientes, la extracción de credenciales obtiene credenciales almacenadas en la memoria o el disco para facilitar el movimiento lateral. El proceso LSASS de Windows almacena credenciales en la memoria para el inicio de sesión único. Herramientas como Mimikatz extraen contraseñas en texto plano o hashes NTLM de la memoria de LSASS. Los defensores contrarrestan esto mediante Credential Guard (Windows 10 y posteriores, que utiliza Virtualization-Based Security para aislar LSASS en un contenedor seguro), la pertenencia al grupo Protected Users (que impide el almacenamiento en caché de credenciales) y reglas de EDR que generan alertas cuando procesos que no son del sistema acceden a la memoria de LSASS.

Intentar eliminar un rootkit de un sistema en ejecución es arriesgado: el rootkit se oculta activamente y puede detectar los intentos de eliminación. La práctica recomendada para remediar un rootkit es recrear la imagen del sistema a partir de una línea base confiable después de preservar las evidencias forenses. Si no es posible recrear completamente la imagen de inmediato: arranque desde un medio externo confiable (una unidad USB con un escáner sin conexión), ejecute herramientas de detección de rootkits antes de que se cargue el sistema operativo, documente todos los artefactos y planifique recrear la imagen lo antes posible. Para los bootkits, utilice Secure Boot con UEFI para impedir los cargadores de arranque sin firma y considere escribir ceros en el MBR antes de reinstalar el sistema operativo.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que los rootkits subvierten las API del sistema operativo para ocultar procesos, archivos y conexiones de red, lo que hace poco confiable la detección desde el sistema operativo infectado y requiere análisis sin conexión o análisis de vistas cruzadas; que el spyware y los keyloggers exfiltran credenciales y datos silenciosamente, con indicadores de comportamiento detectables mediante la supervisión de red y la inspección de procesos de EDR; y que las herramientas de extracción de credenciales como Mimikatz dirigidas contra LSASS se mitigan mediante Windows Credential Guard y las directivas de grupo de Protected Users. A continuación exploraremos el malware sin archivos y los ataques de tipo living-off-the-land.