El mundo de antivirus

viernes, 15 de junio de 2018

Solo los cuerpos de seguridad están autorizados a realizar acciones necesarias para detectar a los delincuentes. En particular, se puede recibir información desde el equipo del supuesto malintencionado solo con permiso del juzgado. En este caso, ¿cómo las empresas antivirus tienen la información sobre cuántos dispositivos han sido infectados con algún troyano y en qué países están sus usuarios?

Esto no sorprenderá a los aficionados a la conspirología porque ellos saben quién en realidad cree los virus.

Pero en realidad todo es mucho más interesante. Para empezar, vamos a hablar más sobre la estructura de una botnet. Los ciberdelincuentes están interesados en que una botnet sea estable. Es muy lógico: si todos los bots contactan a un solo centro de comandos, este centro puede ser bloqueado fácilmente (lo cual pasó durante la epidemia de WannaCry). Por supuesto, en este caso el malintencionado pierde el control de su red.

Hay una opción: los bots pueden usar algún generador de direcciones del centro de comando y en caso de bloqueo de una dirección contactarán a otra. Lo más importante es tener tiempo para registrar las nuevas direcciones. Pero aquí los malintencionados también tienen un problema. Los expertos pueden entender cómo funciona una botnet, y no solamente bloquear algún servidor, sino interceptar la administración del mismo – por ejemplo, al presentar una solicitud al proveedor de hosting correspondiente.

Otra opción es una red de pares descentralizada: los bots consultan uno a otro o a los nodos intermediarios especiales (controladores) en busca de información determinada. No contactan directamente a los centros de control reales, lo cual dificulta su detección y bloqueo.

Es interesante que la estructura de botnet así permite infectar las redes locales con los equipos que no tienen conexión con Internet. Basta con que solo un PC tenga la misma, y los demás se infectarán automáticamente.

En general, sinkholing (de inglés sinkhole, «sumidero») – es una tecnología de intercepción del control de la botnet. La intercepción se realiza en varias etapas. Primero, los analistas de virus analizan el código del troyano. En la segunda etapa se registra el dominio propio que contactarán los bots. Luego solo hay que esperar cuando los bots elijan este servidor para conectarse (o un grupo de servidores). En fin, parece una pesca.

Los expertos de Damballa analizaron una nueva botnet que usa el algoritmo de generación de dominios (domain generation algorithms, DGA) para instalar las nuevas servidores C&C. Una vez registrados varios dominios, el tráfico fue redirigido al punto de sinkholing Georgia Tech Information Security Center (GTISC). La investigación tardó unas semanas más.

El uso de sinkholing es completamente legal. Además, el sinkholing permite no solamente analizar la botnet, sino también dañar su funcionamiento al mover los bots al servidor controlado por los investigadores o los cuerpos de seguridad, y a veces por un proveedor de hosting que ayuda en la investigación. Y, por supuesto, todos los resultados de la intercepción se comunican a la policía.

El análisis de la botnet y el control del servidor administrativo. ¡Nuestras felicitaciones!

El singholing también tiene una desventaja: si hay muchos servidores intermediarios, los investigadores solo pueden registrar una parte de los mismos a su nombre. En este caso, no se puede hablar del control completo. Tampoco se puede valorar el tamaño real de la botnet – solo se sabe de la parte controlada de la misma.

Y a veces resulta que al mismo tiempo varios grupos de investigadores analizan la botnet:

Al usar las posibilidades de la red descentralizada, los investigadores pueden interceptar toda la red. Como los malintencionados están interesados en mantener la estabilidad de la red cuando se intenta destruir la misma, necesitan actualizaciones y las posibilidades de usar los comandos de control. Por lo tanto, a través del servidor controlado por toda la red se puede enviar un comando sobre la conexión del bot al servidor necesario y hasta sobre la desinstalación del troyano.