El mundo de antivirus

miércoles, 3 de agosto de 2022

Los analistas de virus analizan el malware con detalle. Su trabajo es investigar las amenazas existentes y prevenir la aparición de las nuevas. Deben saber descompilar el código de terceros. Y para entender cómo piensan los malintencionados, necesitan saber algo de psicología.

Los virus informáticos aparecieron aún en los años 1970. Y en los años 80 apareció la información sobre las primeras epidemias de virus.

Hoy día para afrontar el malware existe una industria entera donde trabajan los expertos de valor, los analistas de virus. Estos chicos analizan las causas de aparición y los resultados de funcionamiento de virus en los dispositivos de usuarios y desarrollan los modos de afrontar los ataques de virus.

Responsabilidades del analista de virus

El laboratorio analítico de virología informática de Doctor Web recibe a diario de 500 000 a 900 000 muestras de código. Llegan de varias fuentes. Así mismo, de los “agregadores” antivirus (tales como VirusTotal), los vendedores antivirus, los alicientes (honeypot), los equipos dedicados para atraer los virus, las trampas de spam y los sistemas telemétricos internos del laboratorio.

¿Será un archivo malicioso? Para detectarlo, el analista de virus usa varios métodos de pruebas y analiza su comportamiento. No todas las muestras que llegan a nuestro laboratorio son amenazas reales. Pero para asegurarse de eso, hay que analizarlas.

Hasta un 95% de muestras se analizan de forma automática. Para esto hay herramientas especializadas: Doctor Web es uno de pocos vendedores de antivirus en el mundo que tiene sus propias tecnologías únicas para detectar y desinfectar malware.

Las muestras de código por las cuales los robots no pueden dar solución enseguida se analizan de forma manual. Un analista de virus profesional que tiene experiencia necesita 5 minutos para desensamblar un archivo sospechoso, analizar su código fuente y confirmar su estado.

Cuando un analista de virus detecta malware muy sofisticado o nuevo, realiza un análisis profundo que permite hacer una descripción técnica de la amenaza. En el laboratorio de la empresa Doctor Web estas investigaciones se realizan en un entorno de prueba Sandbox («arenero») que funciona a base del servicio Dr.Web vxCube, así como en las máquinas virtuales y emuladores.

Observamos algunos tipos de malware durante varios meses porque los mismos pueden estar hibernados y volver a aparecer después de haber sido “mejorados” por los ciberdelincuentes.

Los archivos escaneados cuya nocividad ha sido confirmada se añaden a las bases de virus del antivirus que se actualizan cada hora. Esto le permite al antivirus realizar su trabajo, detectar y eliminar las amenazas rápido.

Qué debe saber y saber hacer un analista de virus

En la empresa Doctor Web un analista de virus puede trabajar en primera línea (front-line) — en un departamento responsable de desarrollo de los medios de análisis automatizado, alicientes y el servicio Dr.Web vxCube. Aquí se analizan todas las muestras que no se toman en cuenta por los sistemas automatizados, y contestan a las solicitudes del servicio de soporte técnico. Para trabajar en este departamento, uno debe:

• conocer Assembler x86,
• saber trabajar con herramientas OllyDBG, Hiew, IDA,
• conocer la arquitectura de Windows, archivos PE,
• entender inglés técnico.

Hay un departamento de investigación y análisis de amenazas sofisticadas. La tarea de ese equipo es estudiar las amenazas aún desconocidas y/o muy sofisticadas, botnets, ciberataques. Aquí los analistas de virus trabajan para descifrar los archivos cifrados por los extorsionistas y también administran las investigaciones vinculadas con los incidentes informáticos vinculados a virus. Estos expertos, además del conocimiento y de habilidades mencionadas más arriba deben entender el cifrado, tener experiencia de varios ataques a servidores remotos de los malintencionados, saber redactar los artículos técnicos e investigar de forma profunda varias vulnerabilidades y virus sofisticados.

El tercer departamento se dedica al análisis de malware que amenaza a dispositivos móviles. Aquí trabajan las personas que:

• entienden el funcionamiento del SO Android y el código Java,
• conocen el formato de archivos ejecutables ELF/DEX, los algoritmos básicos de programación y Python/C/C++,
• tienen experiencia de trabajo con descompiladores de archivos DEX- y sistemas Linux,