Antonio Millo
Analista de ciberseguridad
Antonio Millo del Pozo
Entendiendo, Identificando y Mitigando Amenazas Digitales
Análisis de Malware en la ciberseguridad moderna
En el acelerado mundo digital que nos rodea, el malware se ha convertido en una de las amenazas más peligrosas para la seguridad informática. Este “software malicioso”, es diseñado para infiltrarse y dañar, explotar o deshabilitar sistemas, redes o dispositivos informáticos causando estragos en organizaciones de todos los tamaños. Su propósito puede variar desde robar información sensible hasta causar interrupciones en los servicios.
Para hacer frente a esos ataques utilizamos e implementamos las últimas tecnologías en ciberseguridad como pueden ser los XDR, los SIEM o los NGFW. No obstante, cuando estamos en la mira de los ciberdelincuentes más expertos, es necesario implicar el factor humano, de ahí la necesidad de contar con los mejores analistas de ciberseguridad capaces de realizar actividades de "Threat Hunting" (caza de amenazas) para llegar más allá que las tecnologías de última generación.
La implementación de técnicas avanzadas de análisis y el seguimiento continuo de los actores de amenazas son esenciales para mantener la seguridad e integridad de los datos
Todos oímos hablar de los numerosos peligros del malware, pero... ¿sabemos realmente qué tipos existen y cómo pueden afectar a nuestros sistemas? Tipos de Amenazas y sus capacidades:
-> Autorreplicantes:
Virus: Programa que se replica insertando copias de sí mismo en archivos ejecutables.
Gusanos: Se propagan sin necesidad de un archivo huésped.
-> Acceso no Autorizado:
Troyanos: Se disfraza de software legítimo para permitir accesos no autorizado.
Rootkits: Otorga accesos privilegiados continuos a un sistema.
Backdoors: Son puertas traseras ocultas inyectadas en dispositivos ya infectados que permiten el uso continuo de un dispositivo víctima desde un adversario.
-> Explotación:
Exploit Kits: Ataca las vulnerabilidades de seguridad de un sistema o dispositivo.
Bombas lógicas: Instala códigos maliciosos en dispositivos para interrumpir su funcionamiento.
-> Robo de Información:
Spyware: Recopila información del usuario sin su consentimiento.
Keyloggers: Registran las pulsaciones de teclas que realiza un usuario para la extracción y robo de credenciales e información sensible.
-> Extorsión y secuestro de datos:
Ransomware: Secuestra archivos del usuario y exige un rescate para liberarlos.
-> Infección de red:
Bots & Botnets: Envían spam, roban datos, hacer clic en anuncios de forma fraudulenta, etc.
-> Publicitario y de Fraude:
Adware: Muestra publicidad no deseada y recopila datos sobre hábitos de navegación.
Rogueware: Alertas que asustan al usuario al imitar a la de los sistemas operativos.
Malvertising: Insertan un código dañino en una campaña de publicidad digital.
-> Mineros de datos:
Criptojackings: Roba diversos tipos de monedas digitales e implementa sistemas de criptominado en los dispositivos infectados.
-> PUP (Programas Potencialmente No Deseados):
Malware PUP: Programas legítimos que con un uso indebido pueden llegar a comprometer un dispositivo.
¿Cómo Analiza el Malware una Empresa de Tecnología?
Son muchas las formas que tienen los hackers de atacar a una entidad o usuarios, por ello el análisis de malware favorece a la detección temprana, a la recuperación y respuestas rápidas y efectivas ante incidentes de seguridad y ayuda a mantenerse informado sobre el panorama de amenazas y adaptar las estrategias de seguridad en consecuencia.
Las muestras de malware de última generación se obtienen desde las actividades de “Threat Intelligence” a afectaciones detectadas, bloqueadas y reportadas por los XDR, NGFW o los SIEMs. Una vez obtenidas esas muestras nos tenemos que centrar en unas fases primordiales que van a hacer que nuestro análisis sea exitoso.
Paso 1: Identificación de la Amenaza - Recopilación de Datos
Obtención de las muestras que vamos a estudiar, ya bien sea por infecciones o por búsquedas activas. No obstante, si no tenemos estas muestras podemos buscar en nuestros entornos inyecciones a partir de IOCs (Indicadores de compromiso).
Paso 2: Análisis Estático
A través del estudio de la estructura del código y los componentes de los ficheros se pueden observar características únicas pudiendo definirlo y saber con qué tipo de amenaza nos encontramos. Estos procedimientos se realizan mediante el desensamblado y descompilado del mismo código.
Paso 3: Análisis Dinámico en Sandbox
Ejecutar el malware en un entorno controlado o sandbox para observar su comportamiento en tiempo real sin riesgo para el sistema principal del analista.
Paso 4: Ingeniería Inversa
Intentar replicar el problema con el que nos encontramos para entender todas las fases del ataque y poder marcar unas políticas de detección más refinadas.
No obstante, al tener que cubrir estas necesidades de estar siempre en constante evolución y análisis diario de las amenazas es requerido contar con unas actuaciones de Threat Hunting apoyándose fundamentalmente en un área de Ciber-inteligencia maduro y efectivo. A nivel de España y de la Unión Europea la Inteligencia forman parte de las TIC que son una parte de la infraestructura crítica de nuestra sociedad. Gracias al trabajo realizado por los compañeros del área se pueden contar con las últimas actualizaciones de los actores de amenazas repeler ataques antes de que se lleguen a producir.
Una combinación de técnicas avanzadas de análisis y estrategias proactivas de caza de amenazas sirve para proteger a las empresas de las amenazas cibernéticas en constante evolución. Al identificar, analizar y mitigar estas amenazas, TRC ayuda a las organizaciones a proteger sus activos digitales y mantener la confianza de sus clientes y socios.
Antonio Millo
Analista de ciberseguridad TRC
