Malware

Erro al crear miniatura:

Els programes maliciosos solen ser representats en símbols de perill o advertències d'archiu maliciós.

Un malware, traduït del anglés com a programa maliciós, programa maligne, programa malintencionat o còdic maligne, és qualsevol tipo de software que realisa accions amoladores en un sistema informàtic de forma intencionada (a diferència del software defectuós) i sense el coneiximent de l'usuari (al contrari que el software potencialment no desijat). Eixemples típics d'estes activitats malicioses són el robo d'informació (p. eix. a través de troians), danyar o causar un mal funcionament del sistema informàtic (p. eix. per mig de Stuxnet, Shamoon o Chernobyl), provocar perjuïns econòmics, chantajear a propietaris de les senyes de sistemes informàtics (p. eix. en un ransomware), permetre l'accés d'usuaris no autorisats, provocar molèsties o una combinació de vàries d'estes activitats.

Ans que el terme «malware» fora falcat per Yisrael Radai en 1990, el software maligne s'agrupava baix el terme «virus informàtic» (un virus és en realitat un tipo de malware).

Per al 2020, un programa maliciós conegut en el nom de Joker —degut a que l'icon que utilisa al moment d'aparéixer en tendes d'aplicacions és el d'un pallasso— va infectar a més de 1700 aplicacions que varen tindre que ser retirades d'onze tendes d'aplicacions. No obstant, este programa maliciós s'adapta molt ràpidament a la tenda i es pot ocultar fàcilment.

Motivacions

Durant els anys 1980 i 1990, es creava malware com una forma de vandalisme o travesura. No obstant, en l'actualitat, la principal motivació és l'obtenció d'un benefici econòmic. En els últims anys, està apareixent malware associat a amenaces persistents alvançades, que són campanyes fortament orquestades realisades per grups associats a estats o a importants instàncies en poder, l'objectiu de les quals més habitual és el robo d'informació estratègica o produir danys en sistemes d'organisacions objectiu.

Les motivacions més habituals per a la creació de programes maliciosos són:

• Experimentar en deprendre (p. eix. el Cuc Morris)
• Realisar bromes, provocar molèsties i satisfer l'ego del creador. (p. eix. Melissa i els virus joke)
• Produir danys en el sistema informàtic, ya siga en el hardware (p. eix. en Stuxnet i Chernobyl), en el software (p. eix. Ramen que canvia la pàgina inicial del servidor web), en les senyes (p. eix. Shamoon o Narilam que busquen destruir les senyes) o provocant la caiguda de servidor (p. eix. Code Ret)
• Provocar una degradació en el funcionament del sistema. Per eixemple, consumint ample de banda de la ret o temps de CPU.
• Traure benefici econòmic. Per eixemple:
  • Furtant informació (personal, empresarial, de defensa...) para despuix usar-la directament en fraus o revendre-la a tercers. Al tipo de programa maliciós que furta informació se li crida programa espia o spyware.
  • Chantajeando al propietari del sistema informàtic (p. eix. el ransomware)

• • Presentar publicitat. A este tipo de programa maliciós se li crida adware.
  • Per mig de la suplantació d'identitat. És l'objectiu final de molts atacs de phishing.
  • Prenent control de computadores per a la seua explotació en el mercat negre. Estes computadores zombis són usades despuix para, per eixemple, l'enviament massiu de correu fem, per a estajar senyes illegals com pornografia infantil, distribuir malware (pagament per instalació) o per a unir-se en ataques de refús de servici distribuït (DDoS).

Quan el malware produïx pèrdues econòmiques per a l'usuari o propietari d'un equip, també es classifica com crimeware o software criminal. Estos programes solen estar encaminats a l'aspecte financer, la suplantació de personalitat i l'espionage.

Alguns autors distinguixen el malware del grayware (també cridats greyware, graynet o greynet), definint estos com a programes que s'instalen sense l'autorisació de l'usuari i es comporten de modo tal que resulten molests o indesijables per a l'usuari, pero són menys perillosos que el malware. En esta categoria, per eixemple, s'inclouen els programes publicitaris, marcadors, programes espia, ferramentes d'accés remot i virus de broma. El terme grayware va començar a utilisar-se en setembre del 2004.

Estructura

Dins del còdic del malware podem tindre un còdic destinat a aportantes distints tipos de funcionalitats:

• la càrrega útil, que és la part del còdic relacionada en l'activitat maliciosa que realisa el malware.
• Opcionalmente, el malware pot tindre un còdic per a la seua distribució automàtica, se li crida reproducció, que propaga el malware a atres ubicacions. Aixina, l'infecció pel malware pot ser directa, per eixemple, a través de l'eixecució de programes descarregats de la ret, o a través d'esta reproducció automàtica.
• Usualment, el malware pot tindre un còdic útil per a l'usuari destinat a ocultar la funcionalitat verdadera del software. És típic ocultar el malware en plugins o programes d'utilitat bàsica com salvapantallas. Al malware que té este component se'ls crida troians.

El malware, per a realisar alguna de les seues funcions, pot fer us de programes llegítims aprofitant les seues funcionalitats per a, per eixemple, eliminar, bloquejar, modificar, copiar senyes o alterar el rendiment de computadores o rets. A este tipo de programes llegítims se'ls crida Riskware. Alguns tipos de programes que són riskware són: utilitats d'administració remota, clients IRC, descargadores d'archius, monitorizadores de l'activitat de la computadora, utilitats d'administració de contrasenyes, servidors d'Internet (FTP, Web, proxy, telnet, ...). És habitual que els antivirus permeten detectar el riskware instalat.

Tipos

Hi ha distints tipos de programes maliciosos, encara que estos poden pertànyer a varis tipos al mateix temps:

• Virus: seqüència de còdic maliciós que s'estaja en ficher eixecutable (hoste) de manera que en eixecutar el programa també s'eixecuta el virus. Tenen les propietats de propagar-se per reproducció dins de la mateixa computadora.

• Cuc: programa maliciós capaç d'eixecutar-se per sí mateixa. Es propaga per la ret explotant vulnerabilitats per a infectar atres equips.
• troià: programa que baix apariència inofensiva i útil té una atra funcionalitat amagada maliciosa. Típicament, esta funcionalitat sol permetre el control de forma remota de l'equip (administració remota) o l'instalació de portes traseres que permeten conexions no autorisades a l'equip. Ademés, no es reproduïxen. Els troians coneguts com droppers són usats per a escomençar la propagació d'un cuc injectant-ho dins de la ret local d'un usuari.

• Bomba llògica: programes que s'activen quan es dona una condició determinada causant danys en el sistema. Les condicions d'eixecució típiques solen ser que un contador aplegue a un valor concret o que el sistema estiga en una hora o data concreta.
• Adware: mostren publicitat no solicitada de forma intrusiva provocant molèsties. Alguns programes shareware permeten usar el programa de manera gratuïta a canvi de mostrar publicitat, en este cas, l'usuari accepta la publicitat en instalar el programa. Este tipo de adware no deuria ser considerat malware, pero moltes voltes els térmens d'us no són completament transparents i oculten lo que el programa realment fa.

• Programa espia (spyware): envia informació de l'equip a tercers sense que l'usuari tinga coneiximent. L'informació pot ser de qualsevol tipo com, per eixemple, informació industrial, senyes personals, contrasenyes, targetes de crèdit, direccions d'correu electrònic (utilisable per a enviar-los corregau-vos fem) o informació sobre pàgines que es visiten (usable per a seleccionar el tipo de publicitat que se li envia a l'usuari). Els autors d'estos programes que intenten actuar de manera llegal poden incloure uns térmens d'us, en els que s'explica de manera imprecisa el comportament del programa espia, que els usuaris accepten sense llegir o sense entendre. La majoria dels programes espies són instalats com troians junt a programes desijables descarregats d'internet. No obstant, atres voltes els programes espies provenen de programes famosos de pagament (ej. Ret Shell va ser distribuït a través de la plataforma Steam pels propis desenrolladors de jocs). Els programes espies solen estar centrat en obtindre tipos específics d'informació. Segons com operen o la classe d'informació al que estan orientats, tenim distints tipos de programes espies. Cal tindre en conte que un programa espia concret pot ser de varis tipos al mateix temps. Alguns dels tipos més freqüents són:

• • Keylogger: software que almagasena les tecles pulsades per l'usuari en la finalitat de capturar informació confidencial. Este tipo de software permet obtindre credencials, números de targeta de crèdit, conversacions de chat, contingut de correus, direccions dels llocs web als que s'accedix, etc.
  • Banking Trojan: software que aprofita vulnerabilitats per a adquirir credencials de financeres (de bancs, portals financers per Internet, cartera de criptomonedas, brókeres per Internet, ...). Ademés, este tipo de software sol modificar el contingut de transaccions o de la pàgina web, aixina com insertar transaccions adicionals.
  • Lladre de contrasenyes (de l'anglés: Password Stealer): software que s'encarrega de recopilar qualsevol contrasenya introduïda dins del dispositiu infectat.

• • Infostealer: software que furta informació sensible guardada en l'equip (navegadors, clients de correu, clients de mensageria instantànea, ...), com per eixemple contrasenyes, usuaris, direccions de correu electrònic, fichers de log, historial del navegador, informació del sistema, hoja, documents, fichers multimèdia...

• • Cookies de seguiment (de l'anglés: Tracking Cookie) o Cookies de tercers (de l'anglés: third-party cookies). És una cookie que s'usa per a compartir detalls de les activitats de navegació realisades per l'usuari entre dos o més llocs o servicis no relacionats. Solen estar relacionades en empreses de publicitat que tenen algun acort en llocs web i utilisen eixa informació per a realisar màrqueting dirigit, orientar i mostrar anuncis de forma tan precisa com siga possible a segments rellevants d'usuaris (Adware Tracking Cookie). També poden utilisar-se per a crear un perfil i realisar un seguiment detallat de l'activitat de l'usuari. Per eixemple, en 2000 es va anunciar que l'Oficina de la Casa Blanca de la Política Nacional per al Control de Drogues, en colaboració en DoubleClick, havia usat cookies de tercers per a medir l'eficàcia d'una campanya per Internet antidrogas fent seguiment de qui havia clicat en l'anunci i que pàgines varen ser vistes a continuació (Cookiegate). Google va anunciar plans per a eliminar les cookies de tercers, inicialment prevists per a 2023 i despuix posposts. En juliol de 2024, Google finalment va cancelar eixos plans i va optar per mantindre-les en nous controls de privacitat.

• • Stalkerware. És un programa espia especialment dissenyat per a dispositius mòvils que té com a objectiu obtindre tot tipo de senyes i informació de la víctima, la seua activitat per Internet i controlar tots els seus moviments.
• Malvertising: s'aprofita de recursos disponibles per ser un anunciant publicitari, per a buscar portes traseres i poder eixecutar o instalar un atre programa maliciós. Per eixemple, un anunciant publicitari en una pàgina web aprofita qualsevol brecha de seguritat de navegador per a instalar programes maliciosos.

• Ransomware o criptovirus: software que afecta greument al funcionament de l'ordenador infectat (p. eix.: sifra el disc dur o ho bloqueja) i li oferix a l'usuari la possibilitat de comprar la clau que permeta recuperar-se de l'informació. En algunes versions del malware (p. eix. Virus ucash) s'emmaixquera l'atac com realisat per la policia i el pagament com l'abonament d'una multa per haver realisat una activitat illegal com, per eixemple, descarregar un software illegal.

• Rogueware: és un fals programa de seguritat que no és lo que diu ser, sino que és un malware. Per eixemple, falsos antivirus, antiespía, tallafocs o similar. Estos programes solen promocionar la seua instalació usant tècniques de scareware, és dir, recorrent a amenaces inexistents com, per eixemple, alertant de que un virus ha infectat el dispositiu. En ocasions també són promocionats com a antivirus reals sense recórrer a les amenaces en la computadora. Una volta instalats en la computadora, és freqüent que simulen ser la solució de seguritat indicada, mostrant que han trobat amenaces i que, si l'usuari vol eliminar-les, és necessari la versió de completa, la qual és de pagament.
• Decoy o enza: software que imita l'interfaç d'un atre programa per a solicitar la contrasenya de l'usuari i aixina poder obtindre eixa informació.

• Dialer: prenen el control del mòdem dial-up, realisen una cridada a un número de teléfon de tarificació especial, moltes voltes internacional i deixen la llínea oberta carregant el cost de dita cridada a l'usuari infectat. La forma més habitual d'infecció sol ser en pàgines web que oferixen continguts gratuïts, pero que solament permeten l'accés per mig de conexió telefònica. Actualment la majoria de les conexions a Internet són per mig d'ADSL i no per mig de mòdem, la qual cosa fa que els dialers ya no siguen tan populars com en el passat.
• Seqüestrador de navegador: són programes que realisen canvis en la configuració del navegador web. Per eixemple, alguns canvien la pàgina d'inici del navegador per pàgines web de publicitat o pàgines pornogràfiques, atres redireccionan els resultats dels buscadors cap a anuncis de pagament o pàgines de phishing bancari.
• Wiper: és un malware orientat al borrat massiu de senyes. Per eixemple, discs durs o bases de senyes.

• Clipper malware: és un malware que s'aprofita de que els usuaris tendixen a, en lloc d'insertar manualment, copiar cert tipo d'informacions en el portapapeles (en anglés clipboard) i despuix l'utilisen pegant-la en a on necessiten. Lo que fa este tipo de malware és monitorizar el portapapeles i quan el seu contingut s'ajusta a certs patrons ho reemplaça de manera amagada en lo que l'atacant vullga. L'us més habitual d'este tipo d'aplicacions és el seqüestre de transaccions de pagament en canviar el destí d'estes. Lo que fan és substituir direcció d'una cartera digital o cartera de criptomonedas, possible destí de la transacció, copiada en el portapapeles, per una pertanyent a l'atacant. Este tipo d'atac explota la complexitat inherent a cert tipo de senyes, els quals són llargues cadenes de números o lletres que semblen aleatoris. Açò favorix que l'usuari es recolze en l'acció de copiar i pegar del portapapeles i ademés, dificulta que en pegar puga ser advertit que la senya ha segut reemplaçat.

• Criptominado maliciós (de l'anglés cryptojacking): és un tipo de programa maliciós que s'oculta en un ordenador i s'eixecuta sense consentiment utilisant els recursos de la màquina (CPU, memòria, ample de banda, ...) per a la mineria de criptomonedas i aixina obtindre beneficis econòmics. Este tipo de programa es pot eixecutar directament sobre el sistema operatiu de la màquina o des de plataforma d'eixecució com el navegador.

• Cryptostealer o malware per al robo de criptomonedas. Per a este comés és habitual l'us de Clipper malware, tipo de malware ya vist, dissenyat per a controlar el portapapeles i quan detecta una direcció de criptomonedas, automàticament la reemplaça per la de l'atacant. D'esta forma, si volem realisar una transferència a la direcció que creem que tenim en el portapapeles, en este cas, aniria a la direcció de l'atacant. Atres malware, com HackBoss, se centren en furtar claus de carteres de criptomonedas.

• Web skimming: software que els atacants instalen en aplicacions web de comerç electrònic en la finalitat de recopilar informació de pagament (senyes personals i de targetes de crèdit, fonamentalment) dels usuaris que visiten dit sitie web compromés.
• Apropiador de formulari: software que permet furtar informació que és introduïda en formularis web.

Tècniques d'evasió

Per a que un programa maligne puga completar els seus objectius és essencial que permaneixca amagat, ya que si és detectat tant el procés com el propi malware serien eliminats, frustrant els objectius del mateix. Les principals tècniques d'evasió, algunes d'elles calificades com tècniques d'evasió alvançades (advanced evasion techniques, AET), són:

• Estratègies orientades a evadir la detecció fent que el còdic del malware en les distintes infeccions siga lo menys identificable possible per patrons de còdic o basat en #1___. Per a implementar este tipo d'estratègies s'usen tècniques de sifrat i ofuscación. Les estratègies més importants són les següents:

• • El sifrat base, o simplement malware sifrat, que consistix en sifrar una part significativa del programa maliciós i tindre un descifrador/carregador, el qual carrega en memòria el text sifrat, ho dessifra en memòria i ho eixecuta. La clau per a dessifrar pot estar explícita o implícita dins del mateix descifrador. És habitual que cada instància use una clau distinta, podent canviar cada cert temps, tenint que recifrar el text i actualisar el carregador en conseqüència. Ya que els elements que residixen en el disc no exponen comportaments maliciosos, fer deteccions confiables basades en els components no sifrats és difícil. Les ferramentes que a partir d'un programa automàticament generen un atre procés que realisa el sifrat base són cridades crypters.

• • Oligomórfico. És una forma alvançada d'us del sifrat en el malware que consistix en tindre una colecció de descifradores diferents, elegint-se un a l'encert per a cada nova víctima. D'esta forma, el còdic carregat no és el mateix en tots els casos. Açò dificulta la seua detecció, ya que en lloc de comprovar un sol descifrador, es té que comprovar totes les seues formes possibles. El número de possibilitats sol ser de varis centenars.

• • Polimòrfic. És una forma alvançada d'us del sifrat en el malware que consistix en generar diferents descifradores a partir d'un motor polimòrfic incorporat. El motor polimòrfic és un software que permet automàticament generar un gran número de descifradores, de l'orde de millons. Per a això utilisa distintes tècniques d'ofuscación. En 1990 es va crear el primer virus polimòrfic conegut com a V2PX, també cridat 1260, i en 1992 es va crear el primer toolkit polimòrfic cridat Mutation Engine (MtE), el qual permetia crear malware polimòrfic.

• • Metamòrfic. Esta tècnica es va crear per la facilitat que tenien les ferramentes antimalware de detectar còdic maliciós una volta dessifrat. Este tipo de software es basa en l'us d'un motor metamòrfic integrat dins del mateix que muta el seu còdic, canviant per complet el cos del malware, inclós el propi motor de mutació. El malware metamòrfic no té part sifrada i, per lo tant, no necessita descifrador. Es tracta de malware polimòrfic que ampra un motor de mutació per a mutar tot el seu cos en lloc de modificar solament el descifrador. D'esta forma, el malware mai revela el seu contingut comú en memòria, lo que fa més difícil la seua detecció per part de sistemes antimalware. Aixina, cada volta que es propaga un malware metamòrfic ben construït, es genera una nova versió que mantindrà el mateix efecte i comportament general. Un bon motor metamòrfic crea un número infinit de versions sense patrons de cadena identificables, lo que fa que la seua detecció per mig de firmes siga pràcticament impossible. Per a detectar este tipo de malware s'han d'amprar tècniques basades en l'anàlisis de comportament i heurístiques.

• el sifrat de les senyes transferides. Lo habitual és usar sifrat simètric degut a que el sifrat asimètric té un cost computacional alt.
• Us de protectors de software per a dificultar la detecció del malware. Es poden utilisar tècniques d'empaquetamiento d'eixecutables, sifrat i ofuscación.
• Infecció sense afectar a fichers (en anglés fileless infections). Infeccions que no toquen el disc i solament residixen en memòria per a evitar la detecció. Per eixemple, el kit de exploit Angler efectuava este tipo d'infeccions.

• Us del protocol de Diffie-Hellman d'intercanvi de claus per a ocultar el tràfic de ferramentes de detecció de tràfic de ret maliciós. Este sistema és usat pels kits de exploit web Angler i Nuclear.
• Us de tècniques de DNS Fluxing destinades a ocultar l'ubicació real de determinats recursos dins d'una ret.

• Us d'algoritmes de generació de domini. Estos algoritmes generen automàticament dominis nous que són usats per a estajar servidors utilisats en el ciberatac. Típicament s'usen per a estajar servidors de mando i control.
• Us de tècniques de Blind proxy redirection. Consistix en usar equips intermijos com proxy invers en el propòsit de dificultar els intents de descobrir els servidors des d'a on es controla l'atac. Estos nodos actuen com a intermediaris entre sí, ademés de nodos esclaus i servidors de C&C. Agents bot actuen com redireccionadores que canalisen les solicituts i les senyes cap a i des d'atres servidors baix el control de l'operador de l'atac.

Ocultar el tràfic maliciós en el tràfic habitual. És habitual aprofitar comunicacions IRC, programes de mensageria (p. eix. Skype), blogs, web de compartición de video, rets socials o, en general, qualsevol servici com Google Groups, Google Calendar o Reddit. Per eixemple, estos servidors es poden utilisar per a deixar la localisació dels servidors C&C (p. eix. Casbaneiro i Stantinko usen descripcions de vídeos YouTube per a deixar direccions de màquines involucrades en l'atac) o per a deixar els comandos que són llegits pel malware. A sovint (p. eix. Stego) s'usen tècniques esteganogràfiques, passant del tot inadvertides per a qualsevol que accedixca.

Establir comunicacions i tràfic aleatoris entre servidors compromesos i servidors de C&C.

• Camuflage de domini (domain shadowing). Consistix en prendre el control d'un domini registrat conseguint les credencials d'administració de modo que siga possible crear registres DNS per a nous subdominis. Creant multitut de subdominis, l'atacant configura una llista lo més àmplia possible. Este comportament ha demostrat ser altament efectiu per a evitar tècniques de bloqueig típiques com el blacklisting o sinkholing de llocs o direccionar IP. A diferència del fast-flux, a on es canvia ràpidament l'IP assignada a un únic domini, el camuflage de domini trencada subdominis associats a un domini. Estos poden apuntar a una única IP, o a un conjunt d'elles segons les necessitats i circumstàncies.

• Abús de servicis de DNS gratuïts i dinàmics per a generar dominis i subdominis maliciosos. Açò els permet als atacants entregar càrregues malicioses que canvien constantment les IP d'estage, ya siga les computadores d'usuaris infectats o els llocs web públics compromesos.
• Fragmentar els payloads maliciosos i enviar-los a través de diferents protocols, normalment poc habituals, en la finalitat de que una volta que hagen sortejat les proteccions del sistema atacat es tornen a unir per a poder aixina continuar en el procés de comprometimiento del sistema. Canviar d'una inspecció basada en paquets a una inspecció basada en el fluix complet no és fàcil, fer-ho requerix grans canvis en el maneig de paquets de baix nivell i diferències fonamentals en l'arquitectura dels dispositius de seguritat de ret. L'inspecció basada en el fluix complet usa més memòria i afecta al rendiment del dispositiu.

• Canals encoberts. Per eixemple, enviar informació amprant per a això les capçaleres dels protocols de comunicació. En aplegar els paquets al seu destí corresponent, es processen els valors de les capçaleres, de modo que s'obté l'informació desijada.
• Utilisar camps poc habituals de protocols.
• Realisar ataques de refús de servici. Per eixemple, per a provocar la ralentisació del processament de senyes per part d'un dispositiu de ret, de modo que s'impossibilite la capacitat de gestionar correctament tot el tràfic. Este fet pot provocar que el dispositiu funcione en modo d'error i es bloquege o que permeta tot el tràfic.

• Tècniques per a evitar l'identificació de tots els nodos pertanyents a una botnet. Per a això els nodos de les botnets s'envien únicament llestes parcials del restant de nodos de la botnet, és dir, envien únicament el llistat de nodos que es coneixen (peerlist) de manera fragmentada. Ademés, algunes botnets, com és el cas de Zeus, implementen mecanismes per mig dels quals bloquegen els nodos que soliciten peerlists freqüentment.
• Tècniques per a evitar infiltracions en la botnet que puguen prendre el control d'esta. Per a això incorporen esquemes de reputació per a determinar qué nodos dins de la botnet són confiables i quins no, i bloquegen els nodos que consideren sospitosos.

• Comprovació de l'entorn en el que s'eixecuten, en la finalitat de determinar si ho estan fent en sandboxes o en entorns d'anàlisis de malware. En el cas d'identificar estos entorns, el seu comportament és distint en la finalitat de semblar software confiable. Inclús, en ocasions, generen blacklists en les IPs de les sandboxes i entorns d'anàlisis de malware en la finalitat de que atres malware utilisen eixe coneiximent per a evitar ser detectats.
• Dividir la funcionalitat en distints malware en diferents propòsits. Un eixemple són els droppers encarregats d'introduir en el sistema una càrrega útil que és la que realment conté la funcionalitat en qüestió. D'esta manera, pot ocórrer que es detecten els droppers i downloaders i no la càrrega útil o viceversa.

• Descentralisació de l'estructura d'una botnet. L'utilisació de botnets en estructura descentralisada, com és el cas de les P2P, dificulta significativament el seu desmantellament. En alguns casos, utilisen múltiples servidors C&C en distintes versions del malware. Aixina mateix, l'utilisació de servicis estajats en la ret Tor permet emmaixquerar la localisació real dels servidors C&C.

En sistemes Windows, amagar el còdic maliciós en el registre de Windows. D'esta forma, el programa no sembla malware si no es té accés al contingut de la clau de registre.

Tècniques de resiliencia

Hi ha programes maliciosos que tenen tècniques de resiliencia que permeten que siga difícil la seua eliminació. Per eixemple:

• Instalar varis servicis que s'eixecuten a l'inici del sistema, a on cada u té l'habilitat de reinstalar a l'un atre en cas que siga borrat del sistema. Açò provoca que per a eliminar completament l'amenaça abdós deguen borrar-se al mateix temps. Per eixemple, Stantinko té esta estratègia.
• Actualisació del malware. El malware, com qualsevol atre software, pot tindre manteniment. Açò permet millorar les seues característiques. Per eixemple, es poden millorar els seus métodos d'ocultació per a evitar que siga detectat. Tindre algun mecanisme que permeta l'actualisació permet millorar dinàmicament el seu comportament per a aixina evitar la seua detecció i eliminació.

Malware com a servici

En el marc del cibercrimen com a servici o CaaS (de l'anglés cybercrime as a service) hi ha organisacions de ciberdelincuentes que oferixen servicis de programes maliciosos illegals en el núvol (per eixemple, per a interrompre operació, furtar senyes, ...) donant lloc al cridat malware com a servici o MaaS (de l'anglés: malware as a service). Estos servicis són accessibles des de qualsevol lloc i són extremadament fàcils d'usar. Qualsevol els pot usar i per tant se'ls puga vendre a qualsevol. Estos servicis són contractats per operadors externs. Per eixemple, empreses que volen eliminar competidor o persones que volen cometre frau en targetes de crèdit.

Com en qualsevol atre servici, el proveïdor és important realisar l'atenció al client, per a garantisar la satisfacció del client i intentar vendes adicionals. Donada la facilitat de maneig d'estos servicis i el pagament a través de criptomonedas, els ciberdelincuentes solament deuen preocupar-se de propagar esta amenaça entre la major cantitat de víctimes possible.

El MaaS amenaça a les organisacions de dos maneres:

• Crea una demanda de programes maliciosos cada volta millors i més fàcils d'usar, ya que els desenrolladors de malware lluiten per distinguir-se de la seua competència. Açò conduïx a alvanços significatius en l'accessibilitat i sofisticació de les amenaces de malware.

• Aumenta enormement el número d'amenaces individuals, ya que permet als usuaris que d'un atre modo no tindrien l'habilitat tècnica per a crear els seus propis programes maliciosos. Açò efectivament permet que casi qualsevol persona inicie atacs cibernètics.

Segons el tipo d'activitat maliciosa que realisa, es distinguixen varis tipos de software: ransomware com a servici (Ransomware as a Service, abreviat RaaS), phishing com a servici (Phishing as a Service, PHaaS), DDoS com a servici (DDoS as a service, DDoSaaS), etc.

És habitual que este tipo de servicis s'estagen en la ret d'anonimat Tor, per a dificultar a les autoritats identificar-los.

Conceptes relacionats

Relacionats en els programes maliciosos hi ha una série de conceptes informàtics:

• porta trasera (backdoor). Via alternativa d'accés que eludix els procediments habituals d'autenticació en conectar-se a una computadora. En relació en el malware és freqüent que:

Un malware instale una porta trasera per a permetre un accés remot més fàcil en el futur S'use una porta trasera com a via per a instalar un malware.

• Drive-by-Download. Consistix en la descàrrega involuntària de software provinent d'Internet. És una via típica per a descarregar malware, especialment les descàrregues amagades que es produïxen quan naveguem per certes pàgines web. Per esta raó, als navegadors se'ls estan agregant bloqueadores antimalware que mostren alertes quan s'accedix a una pàgina maliciosa, encara que no sempre donen una total protecció.

• Rootkits. Són jocs de ferramentes disponibles que permeten a usuaris externs accedir sense autorisació a un sistema informàtic i modifiquen el sistema operatiu per a encobrir accions malicioses. Per eixemple, per a encobrir poden proporcionar ferramentes que oculten els ports oberts que evidencien comunicació, ocultar archius o ocultar processos involucrats. En instalar malware és freqüent fer us d'estos jocs d'utilitats. Hui dia també és freqüent que el propi malware incloga les rutines d'ocultació del rootkit. Alguns programes malignes també contenen rutines per a evitar ser borrats, com per eixemple tindre dos processos-fantasmes corrent al mateix temps i cada procés-fantasma deu detectar que l'atre ha segut terminat i deu iniciar una nova instància d'est en qüestió de milisegons. En este sistema l'única manera d'eliminar abdós processos-fantasma és eliminar-los simultàneament, cosa molt difícil de realisar, o provocar un error al sistema deliberadament.

• Botnets. Són rets de computadores infectades per malware, a les que es diu zombis, que poden ser controlades al mateix temps per un individu i realisen distintes tasques. Este tipo de rets són usades per a l'enviament massiu de spam o per a llançar atacs DDoS contra organisacions com a forma d'extorsió o per a impedir el seu correcte funcionament. La ventaja que oferix als spammers l'us d'ordenadors infectats és l'anonimat, que els protegix de la persecució policial. Típicament, la computadora infectada inicia una sessió en una canal d'IRC o un atre sistema de chat des d'a on l'atacant pot donar instruccions a tots els sistemes infectats simultàneament. Les botnets poden ser usades per a actualisar el malware en els sistemes infectats, mantenint-los aixina resistents davant antivirus o atres mides de seguritat.

• Vulnerabilitats. Les vulnerabilitats són punts dèbils d'un sistema informàtic que permeten que un atacant comprometa l'integritat, disponibilitat o confidencialitat d'est. Estes vulnerabilitats són aprofitades pel malware per a eixecutar el seu còdic maligne. Les vulnerabilitats solen ser produïts per errors de software, privilegis d'usuaris (usuaris als que se'ls ha concedit més privilegis dels que es deuria haver otorgat), privilegis de còdic (programes als que se li ha concedit més privilegis del que es deuria haver otorgat), eixecució per part de l'usuari de software no confiable. Un atre factor que afecta a la vulnerabilitat d'un sistema complex format per varis ordenadors és que tots els ordenadors del sistema funcionen en el mateix software (homogeneïtat). Per eixemple, quan tots els ordenadors d'una ret funcionen en el mateix sistema operatiu, si es pot comprometre eixe sistema, es podria afectar a qualsevol ordenador que ho use.

• Exploits. És un software que aprofita un defecte del programa (vulnerabilitat). És la forma d'aprofitar una vulnerabilitat. Estan incorporats en el malware, ya siga para la seua instalació en el sistema objectiu, per a reproduir-se o per a realisar la seua funcionalitat objectiu.

• Honeypots i honeynets. Els honeypots són un recurs de ret destinat a ser atacat o compromés. Per eixemple, per un malware. El seu objectiu és que siga examinat, atacat i provablement compromés per qualsevol atacant. Són els encarregats de proporcionar-nos informació valiosa sobre els possibles atacants en potència a la nostra ret ans que comprometen sistemes reals. Una volta realisades les primeres proves en èxit, es va propondre l'extensió d'este concepte, donant lloc a les honeynets. Una honeynet és un honeypot que és una ret real, en tots els seus elements funcionant, dissenyada per a ser compromesa i poder obtindre informació sobre els atacants.

• Kits de exploits. Són ferramentes que ajuden en la creació de malware proveint distints exploits a modo de biblioteca. En este software és fàcil crear malware que pot ser aprofitat per a realisar tests d'intrusió i validar la seguritat del sistema. Eixemples d'este tipo de software són Metasploit Framework, Immunity CANVAS, Core Impact, unicorn, Malicious Macro Generator o Lucky Strike. Atres llocs, com Packet Storm i Miw0rm, posseïxen igualment importants cantitats de còdic d'explotació disponible per a ajudar en esta tasca.

• Ferramentes de simulació d'atac. Permeten emular qualsevol amenaça real en una ret per a comprovar l'eficàcia dels sistemes de seguritat front a ella. Un eixemple d'este tipo de software és Cobalt Strike.
• Escàner de ports. Ferramentes que realisen la comprovació de quins ports d'un sistema estan oberts. És habitual este tipo de ferramentes quan es dissenya un malware per a usar en un sistema objectiu concret. L'eixemple típic d'este tipo de ferramentes és nmap.

• Escàner de vulnerabilitats. Són ferramentes utilisades per a buscar vulnerabilitats en un sistema. És habitual este tipo de ferramentes quan es dissenya un malware per a usar en un sistema objectiu concret. Eixemples d'este tipo de ferramentes són Shadow Security Scanner, Retina, OpenVAS i Nessus.
• Servicis de resolució de CAPTCHA. És freqüent que el malware faça us de servicis de resolució de CAPTCHA en la finalitat de poder accedir a recursos gratuïts que oferix la ret. Per eixemple, malware que crea contes falsos en rets socials.

• Acortador d'URL. És habitual que el malware faça de servicis d'URL acurtades. Estos servicis permeten ocultar la URLs final de servicis maliciosos. Ademés, en ocasions, permeten introduir publicitat i registrar senyes sobre els usuaris (navegador, sistema operatiu, ...). Per totes estes raons, és freqüente que alguns servicis que acurten URL, especialment els que no controlen els destins dels enllaços, s'han dominis prohibits en les llistes negres.

• Sumidero de DNS. Per a lluitar contra el malware a voltes és efectiu tindre un sumidero de DNS que proporcione IPs falses o nules com a resolució de cert domini que solicita el malware. D'esta forma s'evita que el malware use un cert nom de domini en l'atac (p. eix. servidor de mando i control, servidor objectiu d'un atac de refús de servici).

Protecció contra programes maliciosos

Prevenció

Algunes pràctiques permeten aumentar considerablement la seguritat d'una computadora.

• Tindre el sistema operatiu i el navegador web actualisats.
• Tindre instalat un antivirus i un firewall i configurar-los per a que s'actualisen automàticament de forma regular ya que cada dia apareixen noves amenaces.

• Utilisar una conte d'usuari en privilegis llimitats, el conte d'administrador solament deu utilisar-se quan siga necessari canviar la configuració o instalar un nou software.
• Tindre precaució en eixecutar software procedent d'Internet o de mig extraíble com CD o memòries USB. És important assegurar-se de que procedixen d'algun lloc de confiança.
• Una recomanació en tableta, teléfon celular i uns atres dispositius mòvils és instalar aplicacions de tendes molt reconegudes com App Store, Google Play o Microsoft Store, puix açò garantisa un molt mínim risc de contindre malware algun. Existix, ademés, la possibilitat d'instalar un antivirus per a este tipo de dispositius.
• Evitar descarregar archius (programes, contingut multimèdia, documents) d'orige no confiable (ej. rets P2P, pàgines web de descàrrega de continguts).

• No conectar dispositius externs no confiables. Els dispositius poden contindre archius infectats, que poden eixecutar-se automàticament, o inclús el dispositiu en sí pot tindre com a objectiu danyar eléctricamente els equips (Ej. USB Killer).
• Desactivar l'interpretació de Visual Basic Script i permetre JavaScript, ActiveX i cookies solament en pàgines web de confiança.
• Utilisar contrasenyas d'alta seguritat per a evitar ataques de diccionari.

Us de tecnologies que analisen la fiabilitat de llocs web. Són tecnologies que abans d'accedir a una pàgina web avisen si el lloc web ha segut notificat com a maliciós o que un anàlisis del seu còdic ha donat com a conclusió que té contingut malintencionat. Per eixemple, en Windows l'opció SmartScreen del Internet Explorer fa este tipo de funcionalitats. Hi ha extensions/complements de navegador com WOT mostres reputació de pàgines web basades en opinions d'usuaris. Alguns buscadors (ej. Google) alerten en els resultats de busques de llocs web que pogueren ser de llocs maliciosos. Hi ha pàgines web com [5] que donada una pàgina web mostren la seua reputació des de diferents sistemes de reputació (WOT, Avira,...).

És recomanable fer copies de respal regularment dels documents importants a mijos extraíbles com a CD, DVD o disc dur extern, per a poder-los recuperar en cas d'infecció per part d'algun malware, pero solament si s'està segur que eixes còpies estan netes.

Software antimalware

És un tipo de programa dissenyat per a previndre, detectar i remediar software maliciós en els dispositius i sistemes informàtics. Els térmens antivirus i antimalware s'utilisen a sovint com a sinònims ya que els virus informàtics són un tipo específic de malware.

Tipos de software antimalware:

• Antivirus. Són programes que detecten i eliminen o bloquegen l'activitat de programes maliciosos. Pot protegir de vàries formes:
  • Escanejant el tràfic procedent de la ret en busca de malware que bloqueja.
  • Interceptant intents d'eixecució automàtica no permesa
  • Interceptant intents de modificacions no permeses sobre aplicacions importants com el navegador web.

• • Detectant i eliminant o bloquejant malware que ya ha segut instalat en una computadora. Per a això analisa els programes instalats, el contingut del registre de Windows (per a sistemes Windows), els archius del sistema operatiu i la memòria. En terminar l'escanege mostra a l'usuari una llista en totes les amenaces trobades i permeten triar cuals eliminar o bloquejar.
• Antispyware. software que servix per a detectar, previndre i eliminar programes espies. Està centrat en este tipo d'específic de programes maliciosos.
• Virtualisació, permet donar accés illimitat, pero solament a recursos virtuals.
• Aïllament de processos també conegut com sandbox.

• Tallafocs o firewall. software dissenyat per a controlar el tràfic de ret. Eixemples de funcions: Filtrar paquets de ret sospitosos a partir de l'informació que conté (per eixemple, direcció orige, direcció destine, tipo de mensage, ...), autenticació i autorisació d'accessos. Proporcionen cert grau de protecció front a atacs de malware.
• Sistemes de detecció d'intrusos (IDS). Sistema que recolecta i analisa informació en l'objectiu d'identificar possibles fallos de seguritat degut. Per eixemple, esta activitat pot ser deguda a malware. El sistema quan detecta acció sospitosa genera alarmes. La detecció sol basar-se en vore si el comportament s'ajusta alguns dels comportaments típics de malware que té en la seua base de senyes, la detecció de certes seqüències en el còdic i en els anàlisis estadístics de paràmetros (ample de banda, protocols i ports usats, dispositius conectats,...). Els tipos més habituals són:

• • IDS d'host (HIDS). Residix en un equip monitorizado i s'encarrega d'analisar tots els logs per a detectar activitats sospites.
  • Sistema de detecció d'intrusos en ret (NIDS). Està conectat a un segment de ret i s'encarrega de detectar activitats sospitoses en el tràfic, com per eixemple atacs de refús de servici, escáneres de ports o intents d'accés.
• Sistema de prevenció d'intrusos (IPS). Hardware o software que té l'habilitat de detectar atacs tant coneguts com desconeguts i reaccionar a ells per a impedir el seu èxit. solen usar un software de tallafocs associat o treballar de forma coordinada en un tallafocs.

Convencions de noms

El número de programes maliciosos identificats és enorme. Per eixemple, en 2013 es varen localisar 170 millons de programes maliciosos distints, i d'ells 70 millons havien aparegut nous eixe mateix any. Cada organisació que treballa en programes maliciosos usa els seus propis noms interns per a identificar-los. No obstant, per a que les distintes organisacions es puguen intercanviar informació, és necessari un sistema estàndar d'identificació precisa. Açò és complicat pel gran volum de programes maliciosos i a que varis poden ser molt similars. Hi ha hagut distintes iniciatives:

La primera convenció de noms per a programes maliciosos va ser proposta en 1991 per la Computer Antivirus Researcher Organization. Esta convenció es basava en donar un nom en base en les característiques reseñables, agrupar-los en famílies i desglossar-los en variants. Per la seua pròpia naturalea era freqüent que les distintes organisacions que ho adoptaven donaven distint nom al mateix programa lo que causava confusió. En 2004, el Mitre desenrolla l'iniciativa Common Malware Enumeration (CME) en l'objectiu de donar un identificador únic a cada programa maliciós. El seu propòsit era intentar que l'indústria colaborara en este proyecte i en consens conseguir identificadors únics. El sistema va semblar funcionar en 2005, pero en 2006 el gran increment en la cantitat d'estos programes va reduir la necessitat de tindre un identificador per a cada u. Lo important era el desenroll d'heurística que, en analisar de forma genèrica, permetera la detecció de gran número d'instàncies de malware. D'esta manera, l'últim CME-ANEU va ser generat a principis de 2017.^{cita requerida}

• Malware Attribute Enumeration and Characterization (MAEC). Llenguage basat en XML estandardisat per Mitre per a la descripció i comunicació d'informació sobre malware. Està basat en atributs com a comportament, artefactes, patrons d'atac, capacitats, relacions en atres malware, etc. És un llenguage de caracterisació de malware basada en atributs que permet eliminar l'ambigüitat i la inexactitud en la seua descripció. Hi ha hagut distintes versions. Degut a que el malware concret a partir del seu comportament es pot considerar com un indicador de compromís. A causa del nivell de detall propost en MAEC, és prohibitiu caracterisar un conjunt ampli de malware. Ademés, el conjunt de mostres que és possible caracterisar en este método està molt biaixat cap a aquells que es poden eixecutar en un entorn controlat de sandbox.

Antimalware Day

El Antimalware Day se celebra el 3 de novembre de cada any. Es tracta d'una data que va ser establida en 2017 per la companyia de seguritat ESET en l'objectiu de destacar la llabor que realisen els investigadors que s'eixerciten en el camp de la seguritat de l'informació i l'indústria en general. Aixina mateix, també per a recordar l'importància d'estar protegits en un món cada volta més influenciat per la tecnologia. La data elegida és el 3 de novembre en homenage a Frederick Cohen i Leonard Adleman, ya que eixa mateixa data, pero de l'any 1983, l'estudiant d'Ingenieria de l'Universitat del Sur de Califòrnia, Fred Cohen, va presentar un prototip de programa maligne en un seminari d'informàtica que despuix el seu professor, Len Adleman, batejaria com a virus informàtic.

Vore també

• Amenaça persistent alvançada
• Antivirus
• Tallafocs
• Crimeware
• Heurística
• Malware en Linux

Companyies antimalware

Erro al crear miniatura:

• Ad-Aware
• Avast
• AVG
• Avira
• BitDefender
• ClamAV
• ClamWin
• Dr. Web
• ESET
• Fireeye
• HijackThis
• Iobit Malware Fighter
• Kaspersky
• Malwarebytes
• McAfee
• Microsoft Security Essentials
• Norm (software)
• Norton Antivirus
• Colla Cloud Antivirus
• Panda Security
• Sophos
• Sokx Pro
• Spybot - Search & Destroy
• SpywareBlaster
• Symantec
• TrustPort
• Windows Defendre
• Windows Live OneCare
• Winpooch

Enllaços externs

• Blog de Chema Alonso (Maligne Alonso) dedicat a l'investigació i prevenció dels programes malignes.
• Blog de Playmaax Cóm eliminar malware rogueads. unwanted_ads WordPress.