Aquest tema que tractarem avui és el tema de malware en general, aleshores
el que veurem en aquest punt serà la classificació del divers malware que
existeix al món actualment, llavors la classificació és bastant senzilla
d'entendre,
de fet la gran majoria de nosaltres al dia a dia anem a sentit a parlar,
llavors el malware és classificar, tenim diverses categories, tenim els
virus, tenim els trojans, tenim els worms o cooks si voleu, tenim el
ransomware, el gran damnificat últimament que és el que acostumem a
tenir més sovint,
i després tenim altres variants com podrien ser els rootkits i el codi
maliciós en general que són unes categories una mica diferents però
que també cobrirem.
Llavors, els virus, què és un virus? Un virus des del punt de vista teòric
estrictament és aquella peça de software que necessita un hoste per
funcionar, és el mateix que el virus de la grip o qualsevol altre virus
que pugueu pensar,
on bàsicament el que jo tinc és una aplicació normal funcionant i després
aquest virus que es fica dins de l 'aplicació normal i la modifica per
intentar fer que es comporti d'una forma diferent aquesta aplicació,
però intenta que es comporti diferent fent altres coses però manté la
funcionalitat original a la vegada, d'acord? Una de les coses que fa
aquest virus és propagar-se a binaris que estan dins del propi sistema.
Llavors, trets molt importants dels virus des del punt de vista teòric,
després sí que és veritat que tenim implementacions por ahí que no són
exactament així perquè cada creador de malware ho pot fer d'una forma
diferent,
però el virus no contempla la xarxa, el virus sempre assumeix que es
trasllada d'una banda a l'altra a través de dispositius físics que algú
pugui utilitzar com un USB, com un CD o Blu-ray en sus dies o DVD,
però típicament viu sobre la pròpia màquina, sí que és cert que si jo a
la meva màquina tinc una unitat de disc compartida amb un altre
ordinador,
evidentment podria estendre-se allà però no té el concepte de xarxa
pròpiament. Llavors un virus bàsicament el que fa és entrar al
binari, s'executa amb el binari, per tant requereix intervenció humana per
funcionar
i d'allà després bàsicament es propaga als binaris que estan al
propi sistema i quan el developer decideix, normalment amb un criteri
de cap a un temps o el que sigui, actuar fent el que sigui.
I què pot fer? Pot esborrar informació, pot fer despesa de
recursos, pot fer enviar missatges polítics o missatges d'activisme,
qualsevol cosa que hagi decidit el developer.
D'altra banda, tenim els CUCs, que són una evolució dels virus d'alguna
forma. Un CUC funciona d'una forma força diferent.
El que fem amb un CUC és que no requereix aquesta aplicació hòstia
per a funcionar. Per contra, aquest CUC el que fa és aprofitar de
vulnerabilitats o d'errors a les aplicacions,
de manera que a través de la xarxa, i aquí sí que és important el concepte
de xarxa, infecta un equip i després des d'allà es propaga d'una forma
similar al virus però aprofitant aquesta mateixa vulnerabilitat
o alguna cosa similar. Un dels CUCs més famosos que hi va haver en el seu
dia va ser el WannaCry, que s'enviava a ell mateix pel mail a través d'una
vulnerabilitat de Outlook, per exemple.
L'avantatge dels CUCs és que no requereixen intervenció humana,
típicament, perquè com afecten una vulnerabilitat de les aplicacions són
autònoms i poden funcionar.
I a banda, com es van propagant en sistemes diferents és molt difícil
veure d'on han sortit. Una evolució dels CUCs són els botnets. Una botnet
és una sèrie d'equips que han estat vulnerats per una aplicació que
podria ser un CUC perfectament
i que després aquells equips s'utilitzen per a realitzar atacs
contra altres sistemes, per exemple, de denegació de servei. Jo el que
faig, i d'això ha sigut d'exemples típics,
és infectar un munt d'equips arreu del món. Estem parlant de milions
d'equips i una volta els tinc tots infectats, un dia a una hora concreta
decideixo fer un atac d'enviar molt de tràfic entre aquests milions
d'equips a un equip sol.
I què passa? Que col·lapse aquell equip i deixa d'oferir el servei. I
això ha passat històricament, sobretot en el servei del DNS, que és
el que ens permet accedir a transformar un nom en una IP.
Han hagut diversos atacs típics que veurem en el tema en qüestió.
Després tenim també els trojans. Un trojar bàsicament és una aplicació
que es fa passar per un altre. Llavors jo simulo que soc el Notepad,
per exemple, o simulo que soc una aplicació legítima del sistema
i el que faig és que m'executo primer jo i després faig el que hagi de fer
maliciós i després executo l'aplicació original, sense cap
problema.
I la idea que tenen els trojans és amagar-se, sempre intenten amagar-se.
Els trojans, juntament amb les backdoors, normalment treballen
junts. Una backdoor què és? Una backdoor és, d'alguna forma, pots
veure com un trojar.
És un tipus de malware que es fica en un sistema i obre una porta trasera
perquè l'atacant pugui entrar sempre que vulgui i realitzar accions dins
del teu sistema.
Aquesta backdoor, quan ajuntem en trojans molts cops n'hi diem
rootkits. Un rootkit no deixa de ser una aplicació que s'amaga dins del
nostre sistema,
actua fins a cert punt com un trojar, tot i que els vídeos i gràcies a
internet són una miqueta diferents, com veurem al tema,
i després obre aquesta porta trasera perquè l'atacant pugui realitzar les
accions malicioses que vulgui.
I després, per últim, tenim el ransomware. El ransomware és un dels
tipus d'atacs que estan més de moda actualment.
En realitat no és un malware per se, el ransomware, senzillament el que
fem.
Els ransomwares normalment estan perpetrats per atacants maliciosos
que requereix molt de temps per poder realitzar l'atac.
Les sigles en anglès del que acaba provocant el ransomware es diuen APT,
Advanced Persistent Threats,
que són amenaces persistents perquè es queden al nostre sistema i porten
bastant temps, setmanes o mesos de perpetrat.
Llavors normalment l'entrada del ransomware és a través d'enginyeria
social o a través de vulnerabilitats com si fos un CUC,
però en aquest cas no és aleatori, no són màquines qualsevol, sinó que són
atacs dirigits.
Jo et busco a tu perquè vull robar-te la informació.
Una volta jo he sigut capaç d'entrar al sistema, el que faré dins d'aquest
sistema serà expandir-me per tota la teva xarxa.
Normalment el punt d'entrada, com deia abans, és a l'enginyeria social,
però podrien ser altres coses,
i una volta jo ja estigui dins del sistema, m'expandiré a les màquines
col·lindants,
de manera que prendré control de tota la teva xarxa, per això és
persistent, perquè triga molt en realitzar-se aquest pas,
i una volta tinc control de tota la teva infraestructura, exfiltro
dades.
Ex filtra dades significa que robo les dades i quan ja les tinc les
xifro les teves.
Les xifro de manera que tu no les podràs utilitzar mai més a no ser que
em paguis un rescat.
Jo t'amenacaré a inhabilitar-te el sistema, com ha passat històricament
i segurament que tots heu sentit les notícies,
et puc amenaçar en que faré disclosure, o sigui, donaré aquesta
informació a tercers, la vendré,
si tu no em pagues els diners els guanyaré igual a través de la venda
d'informació,
per exemple, records mèdics, contractes amb clients, decisions
polítiques, el que sigui.
Llavors tu, com que et dones amenaçat, pagaràs, i ara que et
paguis m'has finançat però podries realitzar nous atacs.
Llavors el ransomware en si no és ben bé un atac perquè el xifrat
d'informació és prou senzill,
però tot l'ecosistema que el forma és una de les versions de malware més
sonades actualment.
Com he dit abans hi ha altres tipus de malware com poden ser les
aplicacions malicioses i algun altre,
però que ja són menys importants i que bàsicament són categories on hi
posem tot el que no sabem com calificar d'alguna manera.
Llavors tot això ho veurem en el tema, veurem les fases d'un virus,
veurem les fases d'un cuc,
veurem com funcionen tots aquests atacs de forma molt més detallada.
Moltes gràcies.