Malware
En el trabajo sobre amenazas, el malware es software hostil escrito para actuar contra los intereses del sistema en el que se ejecuta: ransomware, infostealers, herramientas de acceso remoto, loaders, wipers y demás. Es un medio para el fin de un atacante y no el fin en sí mismo, y definir una intrusión por el malware que se encontró en ella suele describir su parte menos importante.
Cómo funciona
Resulta más útil clasificarlo por el cometido que cumple que por la etiqueta que le pone un fabricante. Un loader establece un punto de apoyo y trae lo que viene después. Una herramienta de acceso remoto da control interactivo. Un infostealer recoge credenciales, cookies de sesión y ficheros, y sale. El ransomware cifra y extorsiona. Un wiper destruye con aspecto de ransomware. Un rootkit esconde otra actividad.
La entrega es independiente de la función, y por eso el mismo payload llega como adjunto de un phishing, por una actualización comprometida, por un exploit de navegador o porque un operador escribe un comando en una máquina que ya controla. Además, las intrusiones actuales son cada vez más modulares: un broker vende el acceso, se deja caer un loader, y el payload final no tiene nada que ver con quien obtuvo el punto de apoyo inicial.
Qué sale mal
Una detección basada en identificar el fichero es una apuesta que se encoge, por un motivo estructural: el fichero es la parte que el operador puede cambiar más barato. Recompilar, empaquetar o generar una compilación nueva cambia todos los hashes y la mayoría de las firmas sin coste. Y las operaciones que no escriben ningún payload en disco, ejecutándose en memoria o enteramente a través de utilidades del sistema firmadas, no presentan nada que firmar de entrada.
La consecuencia para quien defiende es que la señal duradera es el comportamiento: qué hizo el proceso, a qué accedió, con qué se conectó, qué lanzó. Eso es un problema de ingeniería de detección y no un problema de elegir producto.
El segundo error es confundir eliminar con remediar. Borrar el payload sin responder cómo llegó, qué credenciales recogió y qué más instaló deja al intruso con todo lo que se llevó, y por eso la respuesta a incidentes delimita el alcance antes de erradicar.
Dónde aparece esto en una auditoría
En un encargo nos comportamos como un operador, no como una muestra: la herramienta se construye para el cliente y no la ha visto nadie nunca, así que cualquier detección que salte estará detectando comportamiento y no reconociendo una muestra. Esa es la prueba honesta de un control de endpoint, y a los clientes les sorprende con frecuencia lo lejos que llega un implante a medida antes de que algo reaccione. Anotamos cada artefacto que colocamos y devolvemos la lista completa para que no quede nada nuestro detrás.