Etiquetar Archivos: APT

No he visto la sexta entrega de la película Misión Imposible, ni creo que la vea. Vi la quinta entrega (en estado zombi durante un largo vuelo a casa después de una semana dura de trabajo) solamente porque una escena se había filmado en nuestra nueva y flamante oficina de Londres. Se trataba de otra entrega más de Misión Imposible, una película que no es para nada de mi estilo. Bofetadas, disparos, golpes, choques, explosiones, conmoción. Uf. Yo prefiero algo más desafiante, intelectualmente estimulante y sencillamente interesante. Después de todo, mi tiempo es escaso y valioso.

Parece que estoy despotricando contra Tom Cruise y compañía, ¿verdad? Pero no es así. De hecho, tengo que reconocer el mérito de al menos una escena que está muy bien hecha (es decir, que resulta intelectualmente estimulante y sencillamente interesante). Se trata de la parte en la que los buenos necesitan que uno de los malos delate a sus secuaces, o algo parecido. Para ello, instalaron un ambiente falso en un “hospital” con la “CNN” en la “televisión” informando sobre el Armagedón nuclear. Satisfecho por la transmisión mundial de su manifiesto apocalíptico, el villano entrega a sus secuaces (¿o era un código de inicio de sesión?) como parte del trato realizado con sus interrogadores. Disculpad, aquí está la secuencia.

¿Por qué me gusta tanto esta escena? ¡Pues porque ilustra muy bien uno de los métodos para detectar ciberamenazas desconocidas! De hecho, existen muchos métodos, que varían según el área de aplicación, la efectividad, el uso de recursos y otros parámetros (escribo mucho sobre esto aquí). Pero hay uno que siempre destaca: la emulación (también he hablado mucho de ella aquí).

Al igual que en la película MI, un emulador inicia el objeto investigado en un ambiente artificial aislado, de esta forma lo anima a revelar su carácter malicioso.

Pero esta estrategia presenta una gran desventaja: el hecho de que el ambiente sea artificial. El emulador se esfuerza para que ese entorno artificial parezca un sistema operativo real, pero el malware, cada vez más inteligente, consigue diferenciarlo de un entorno real. Cuando el emulador se percata de que el malware lo ha reconocido, se reagrupa y mejora su emulación, y así sucesivamente en un ciclo interminable que a menudo abre la ventana a una posible vulnerabilidad en un ordenador protegido. El problema principal es que ningún emulador ha podido retratar la viva imagen de un sistema operativo real.

Por otra parte, existe otra opción para abordar el análisis de comportamiento de los objetos sospechosos: analizarlo (en un sistema operativo real) dentro de una máquina virtual. Y bueno, ¿por qué no? Si el emulador no lo detiene por completo, ¡deja que lo intente una máquina (real) virtual! Sería el “interrogatorio” ideal: se lleva a cabo en un ambiente real, no artificial, pero sin las consecuencias negativas.

Seguir leyendo:Una trampa irresistible para el malware

Permitidme comenzar parafraseando una conocida reflexión filosófica: “¿Condiciona la profesión al individuo o el individuo condiciona su profesión?”. Por lo visto, esta pregunta (en realidad, la original) se ha debatido durante más de 150 años. Y tras la invención y expansión de Internet, parece que esta guerra santa continuará otros 150, por lo menos. Personalmente, no voy a mostrar mi apoyo ni a uno ni a otro; no obstante, me gustaría alegar a favor del dualismo de una profesión y de un ser, ya que se influyen mutuamente, de muchas maneras y de forma continua.

A finales de los 80, la virología informática surgió en respuesta a la proliferación creciente de programas maliciosos. Ya han pasado 30 años y la virología se ha convertido (más bien se ha fusionado, en éxtasis, con campos vecinos) en la industria de la ciberseguridad, que ahora dicta a menudo el desarrollo del ser de la informática: dada la inevitable competencia, solo sobrevive la tecnología con la mejor protección.

Durante estos 30 años que han tenido lugar desde finales de los 80, a nosotros (las empresas de antivirus) nos han llamado de todo. Pero lo más acertado de los últimos años, en mi humilde opinión, es el meme de la ciberpaleontología.

De hecho, la industria ha aprendido a enfrentarse a epidemias masivas: ya sea de forma proactiva (protegiendo a usuarios de las epidemias de los últimos años, Wannacry y ExPetr) o reactiva (mediante el análisis de los datos de amenazas en la nube y las rápidas actualizaciones). Pero en lo que respecta a los ciberataques dirigidos, la industria en general todavía tiene mucho camino por delante: solo unas cuantas empresas cuentan con la madurez técnica y los recursos necesarios para poder hacerles frente, pero si a esto le añades un compromiso firme para exponerse a cualquier ciberamenaza, sin importar de dónde procesa o cuáles sean sus motivos, solo queda una empresa: ¡KL! (Lo que me recuerda a algo que dijo Napoleon Hill: “La escalera del éxito nunca está abarrotada en la cima”). Bueno, no hay duda de que estamos solos (en la cima de la escalera) y podemos afirmar que este compromiso capaz de enfrentarse a cualquiera sale mucho más caro y es mucho más problemático dadas las turbulencias geopolíticas actuales, pero nuestra experiencia nos dice que es lo correcto y los clientes lo confirma con sus resultados financieros.

Una operación de ciberespionaje es un proyecto de alta tecnología, muy largo, caro y complejo. Es evidente que a los autores de estas operaciones les preocupa y molesta ser detectados y muchos piensan que intentan deshacerse de los “indeseables” desarrolladores con diferentes métodos mediante la manipulación de los medios. Hay otras teorías similares:

Pero me estoy desviando del tema…

Ahora bien, estas operaciones de ciberespionaje pueden permanecer fuera del alcance de los radares durante muchos años. Los autores cuidan bien su inversión equipo: atacan solo a unos pocos objetivos especialmente seleccionados (sin ataques masivos, que son más fáciles de detectar), lo prueban en todos los productos de ciberseguridad populares, cambian de táctica rápidamente si fuera necesario y mucho más. Por tanto, podemos asumir que la gran cantidad de ataques dirigidos que se han detectado son solo la punta del iceberg. Y la única forma de destapar estos ataques es a través de la ciberpaleontología, mediante la recopilación meticulosa y a largo plazo de datos para estructurar una “visión global”, la cooperación con expertos de otras empresas, la detección y el análisis de anomalías y el posterior desarrollo de las tecnologías de protección.

En el campo de la ciberpaleontología hay dos subesferas principales: las investigaciones específicas (después de detectar algo de casualidad y perseguirlo) y las investigaciones operacionales sistemáticas (el proceso de un análisis planeado del panorama informático corporativo).

Las ventajas obvias de la ciberpaleontología operacional son de gran valor para las grandes organizaciones (ya sean estatales o corporativas), que son siempre el objetivo principal de los ataques dirigidos. No obstante, no todas las organizaciones tienen la oportunidad o capacidad de emprender por sí mismos la ciberpaleontología operacional: los especialistas (para contratar) escasean en esta área y también son caros. Nosotros contamos con muchos de ellos por todo el mundo (con una amplia experiencia y reputación). Por consiguiente, dada nuestra fuerza en este campo y la necesidad de nuestros clientes corporativos (fiel a los principios del mercado de la oferta y la demanda), hemos decidido elaborar un nuevo servicio para el mercado: Kaspersky Managed Protection.

Seguir leyendo:Ciberpaleontología: resultados impresionantes