Virus, gusanos y troyanos

El malware (software malicioso) es cualquier software diseñado para interrumpir, dañar, obtener acceso no autorizado a sistemas o extraer datos de ellos. El término engloba muchas categorías distintas que se diferencian por cómo se propagan, qué hacen y qué técnicas de detección evaden. Security+ evalúa su capacidad para distinguir los tipos de malware según su mecanismo de propagación (cómo se propaga), su carga útil (qué daño o acción realiza) y su mecanismo de persistencia (cómo sobrevive a los reinicios). Las tres categorías fundamentales son los virus, los gusanos y los troyanos.

Un virus es un malware que se adjunta a un archivo host legítimo y necesita una acción humana (ejecutar el archivo infectado) para propagarse. Cuando se ejecuta el archivo infectado, el virus se replica inyectando su código en otros ejecutables, documentos o sectores de arranque. Entre los tipos de virus se incluyen los infectores de archivos (se adjuntan a archivos .exe), los virus de macro (se incrustan en documentos de Office y se ejecutan cuando se ejecutan las macros), los virus del sector de arranque (infectan el MBR y se cargan antes que el sistema operativo) y los virus polimórficos (cambian su firma de código con cada infección para evadir la detección basada en firmas).

Un gusano es un malware autorreplicante que se propaga de forma independiente por las redes sin necesitar un archivo host ni una acción humana. Los gusanos aprovechan vulnerabilidades de red o credenciales débiles para copiarse en otros sistemas. El gusano SQL Slammer de 2003 infectó 75.000 sistemas en 10 minutos mediante un único paquete UDP. El ransomware WannaCry de 2017 se propagó como un gusano mediante el exploit EternalBlue, dirigido contra SMBv1. Los gusanos causan daños masivos al provocar congestión de red y distribuir su carga útil a gran escala. La aplicación de parches y la segmentación de red son las principales defensas.

Un caballo de Troya (o troyano) es un malware disfrazado de software legítimo. A diferencia de los virus y los gusanos, los troyanos no se autorreplican: dependen de que el usuario los instale creyendo que son algo útil, como un juego gratuito, una aplicación crackeada, una utilidad práctica, un antivirus falso o una actualización de software. Una vez instalado, el troyano ejecuta su carga útil maliciosa, que puede incluir la instalación de una puerta trasera, funcionar como un RAT (Remote Access Trojan), registrar las pulsaciones de teclas o descargar malware adicional. Los troyanos se utilizan con frecuencia para establecer el acceso inicial antes de desplegar cargas útiles más dañinas.

El examen Security+ evalúa con frecuencia las diferencias entre estas tres categorías. Las diferencias fundamentales son las siguientes: los virus necesitan un archivo host y una acción humana para propagarse; infectan archivos legítimos. Los gusanos son autónomos y se propagan por sí mismos: se extienden automáticamente por las redes sin adjuntarse a otros archivos ni requerir interacción del usuario. Los troyanos no se autorreplican y dependen del engaño: hay que inducir al usuario a instalarlos. Un malware puede combinar características (por ejemplo, un gusano que deposita una carga útil de tipo troyano), por lo que debe centrarse en el mecanismo de propagación predominante al clasificarlo.

Muchos troyanos y gusanos establecen comunicación con un servidor de mando y control (C2), un servidor remoto que el atacante utiliza para enviar instrucciones a los hosts infectados. Un gran número de hosts conectados a un C2 forma una botnet. Las botnets se utilizan para ataques DDoS, campañas de spam, minería de criptomonedas y robo de credenciales. La comunicación C2 puede utilizar HTTP/HTTPS para mezclarse con el tráfico web normal, túneles DNS para ocultarse en las consultas DNS o protocolos entre pares que no tienen un servidor central que se pueda desactivar. La detección del tráfico C2 requiere supervisión de DNS, registros del proxy y análisis del flujo de red para identificar patrones anómalos de beaconing.

Los antivirus tradicionales se basan en la detección basada en firmas: comparan los archivos con una base de datos de firmas de malware conocidas (hashes o patrones de código). Las firmas son rápidas, pero no detectan malware nuevo o modificado. La detección basada en el comportamiento (utilizada por las plataformas EDR) supervisa en tiempo real el comportamiento de los programas: creación de procesos secundarios, modificación de claves del registro, inyección de código en otros procesos o contacto con direcciones IP maliciosas conocidas. El análisis heurístico analiza estáticamente el código para detectar patrones similares a los del malware sin requerir una coincidencia exacta de firma. El sandboxing ejecuta los archivos sospechosos en un entorno aislado para observar su comportamiento de forma segura.

Un virus multipartito utiliza simultáneamente varios vectores de infección; por ejemplo, infecta tanto archivos ejecutables como el sector de arranque. Esto dificulta su eliminación completa, ya que limpiar solo uno de los vectores deja el otro activo y permite que se produzca una reinfección. Los virus de macro infectan archivos de documentos mediante la inserción de macros VBA (Visual Basic for Applications) maliciosas en documentos de Microsoft Office. Cuando se abre el documento y se habilitan las macros, el virus se ejecuta. Los virus de macro se propagan fácilmente mediante archivos adjuntos de correo electrónico. La principal defensa consiste en deshabilitar las macros de forma predeterminada y permitir únicamente macros firmadas digitalmente de editores de confianza.

Prevenir la propagación del malware requiere defensas por capas. Para los virus: deshabilite la ejecución de macros, analice todas las transferencias de archivos (puerta de enlace de correo electrónico, proxy web y análisis de USB) y mantenga actualizada la protección de los endpoints. Para los gusanos: aplique los parches rápidamente (la mayoría de los exploits de gusanos aprovechan CVE conocidas), deshabilite los protocolos de red innecesarios (deshabilite SMBv1), segmente las redes para limitar el alcance lateral y aplique una autenticación segura en todos los servicios conectados a la red. Para los troyanos: aplique listas de permitidos de aplicaciones, enseñe a los usuarios a no instalar software no autorizado y verifique los hashes del software antes de instalarlo. La defensa en profundidad detecta aquello que cada control individual no puede detectar.

Las descargas automáticas se producen cuando visitar un sitio web malicioso o comprometido instala malware silenciosamente, sin ninguna acción del usuario aparte de cargar la página. Los atacantes aprovechan vulnerabilidades del navegador o de plugins (versiones antiguas de Flash, Java o lectores de PDF) para ejecutar código malicioso. En los ataques de watering hole, se comprometen sitios web legítimos que la población objetivo visita con frecuencia y se inserta código de descarga automática para infectar a los visitantes. En lugar de atacar directamente al objetivo, el atacante «envenena el abrevadero» y espera a que las víctimas acudan a él. Entre las defensas se incluyen mantener actualizados los navegadores y plugins, utilizar la función de hacer clic para reproducir en los plugins e implementar un proxy web que bloquee sitios maliciosos conocidos.

Cuando se detecta malware, la respuesta sigue el ciclo de vida de respuesta ante incidentes del NIST. Contención: aísle inmediatamente el host infectado (retírelo de la red o aplique reglas de firewall basadas en el host) para detener la propagación. Erradicación: para las infecciones graves, es más seguro volver a crear la imagen del sistema que intentar limpiarlo; la limpieza puede dejar mecanismos de persistencia activos. Preservación de evidencias: capture una imagen de la memoria y una imagen del disco antes de volver a crear la imagen si se requiere análisis forense. Recuperación: restaure el sistema a partir de copias de seguridad limpias, verifique su integridad y supervise atentamente cualquier indicio de reinfección. Documente los indicadores de compromiso (IoC) para mejorar la detección futura.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que los virus se adjuntan a archivos host y necesitan una acción del usuario para propagarse, utilizando técnicas como el polimorfismo para evadir la detección basada en firmas; los gusanos se propagan por sí mismos a través de las redes sin acción del usuario, aprovechando vulnerabilidades y causando infecciones rápidas a gran escala; y los troyanos se disfrazan de software legítimo para inducir a los usuarios a instalarlos, y con frecuencia establecen puertas traseras y comunicación C2. A continuación, exploraremos en detalle el ransomware y los cryptolockers.