Adware

El adware es software no deseado cuyo propósito es colocar publicidad en un dispositivo, y que suele llegar acompañando a algo que el usuario sí quería instalar.

La publicidad no es maliciosa en sí misma. El adware se convierte en un problema de seguridad cuando degrada la máquina, cuando recopila información sobre la persona que la usa y cuando abre una vía para algo peor.

Normalmente se clasifica como programa potencialmente no deseado y no como malware sin más, y esa clasificación es parte de por qué sobrevive: se queda en el espacio donde un producto puede alegar que el usuario dio su consentimiento.

Cómo entra

Casi siempre por un consentimiento que nadie leyó. El adware viaja empaquetado con software gratuito, con extensiones de navegador y con descargas de sitios que reempaquetan instaladores legítimos.

El instalador ofrece una opción por defecto que lo incluye, en un paso diseñado para que se pase de largo a base de clics. El usuario acepta, y la máquina tiene ya software que nadie quería y que nadie ha notado.

Qué hace una vez está dentro

Anuncios donde no pintan nada. Ventanas emergentes, banners inyectados, enlaces de texto insertados en páginas que nunca los llevaron, y una página de inicio y un buscador del navegador que han cambiado sin hacer ruido.

Rastreo. Para elegir qué mostrar, observa. El historial de navegación, los términos de búsqueda y los hábitos se recopilan y se envían fuera, y eso es un problema de privacidad al margen de qué anuncien los anuncios.

Una máquina que ha empeorado. Procesos que se ejecutan sin parar, memoria y ancho de banda consumidos para los ingresos de otro, y un navegador que ya no se comporta como lo configuró su usuario.

Una vía de entrada. Algunas familias redirigen a sitios maliciosos o descargan payloads adicionales, lo que las coloca al lado de un dropper por comportamiento, aunque no por intención.

Un ejemplo

Alguien se descarga un editor de fotos gratuito de un sitio que no es el del fabricante.

El instalador funciona, y el editor funciona. También instala una extensión de navegador que nadie ha pedido.

A partir de ahí el navegador abre en una página de búsqueda que no es la que estaba puesta, los resultados llevan enlaces patrocinados por encima de todo lo demás, y aparecen ventanas emergentes en sitios que no venden publicidad.

De fondo, la extensión tiene permiso para leer todas las páginas que se visitan, que es lo que convierte esto en un incidente de seguridad y no en una molestia.

Dónde aparece esto en una auditoría

El adware en una máquina corporativa rara vez es interesante por sí solo. Es interesante como prueba: significa que se instaló software fuera de la vía aprobada, que el navegador acepta extensiones que nadie ha revisado, y que lo que haya entrado por esa misma puerta tampoco se detuvo. El hallazgo no es el adware. El hallazgo es el camino que el adware demuestra que está abierto.