Diario Tecnologico - Conoce la técnica más usada en ocultamiento malware

El 78% del nuevo malware usa algún tipo de empaquetado para impedir que las soluciones de seguridad puedan detectarlos. Así se desprende de un estudio realizado por PandaLabs.

(DT, AGENCIAS) Un packer o empaquetador es un programa que se utiliza para reducir el tamaño de un archivo ejecutable, generalmente, mediante la compresión del mismo. Ahora bien, ese mismo programa puede ser utilizado para proteger las copias que algunos códigos maliciosos dejan en los equipos o para hacerlos más difíciles de detectar por las soluciones antivirus durante su distribución.

Hay muchos programas empaquetadores. El más usado, según el estudio de PandaLabs, es UPX que aparece en un 15% del malware analizado. PECompact y PE, ambos con un 10%, son otros de los programas más utilizados para esta labor. Pero, según PandaLabs, hay más de 500 tipos de empaquetadores que pueden ser empleados por los ciberdelincuentes.

“Es, en definitiva, una técnica de ocultación. El uso, cada vez mayor, de este tipo de programas pone de manifiesto el interés de los criminales de la red porque sus creaciones pasen lo más desapercibidas posible” explica Luis Corrons, Director Técnico de PandaLabs.

En muchas ocasiones, además, estas herramientas permiten a los ciberdelincuentes unir en un solo archivo varios ficheros maliciosos. Esto, además de dificultar la detección, permite a un código malicioso descargar copias de otros ejemplares de una manera más efectiva.

“El problema es cuándo detectar estos códigos maliciosos. La mayoría están empaquetados con programas legales, por lo que no se puede discriminar entre goodware y malware sólo por el empaquetador utilizado. Entonces ¿cuál es la solución? En el caso de los correos, hay que contar con un sistema que detenga estos emails antes de llegar al PC. Por otro, las soluciones de seguridad han de ser capaces de detectar el malware empaquetado, antes de que el usuario lo ejecute”, asegura Luis Corrons.

Algunos de los códigos maliciosos más destacables de las últimos meses, como el troyano Conycspa.AJ, que descargaba casi una decena de otros códigos maliciosos en el computador, el troyano Clagge.G o el gusano Rinbot.Q, que emplea varias vulnerabilidades de Windows para propagarse, estaban empaquetados.

Otras técnicas de ocultación

Otro peligro importante y muy poco conocido es el de los binders o joiners. Se trata de programas creados para unir dos o más archivos. Estas herramientas son utilizadas por los hackers para esconder sus creaciones malignas dentro de otro archivo de apariencia inofensiva. Por ejemplo, se podría unir la ejecución de un troyano a la visualización de una fotografía con extensión .jpg. De este modo, cuando el usuario abra el archivo para ver la imagen, estará ejecutando el troyano.

PandaLabs ha detectado ya varios ejemplares, como algunos troyanos de la familia Mitglieder (que abren una imagen a la vez que se ejecutan), que han utilizado esta técnica durante su distribución.

Otra forma de proteger los archivos que contienen malware es el scrambling Se trata de una serie de programas, muy similares a los empaquetadores, y que sirven para ocultar archivos ejecutables. Esta técnica consiste en el cifrado del código del propio malware. Para poder ejecutarse correctamente una vez han llegado al PC, estos códigos maliciosos cuentan con un decodificador interno. Los gusanos de la familia Feebs, por ejemplo, utilizan esta técnica para intentar ocultarse.

“Lo más peligroso de esta técnica es la personalización. Los hackers más avezados pueden crear sus propios códigos de cifrado. Los ejemplares de malware encubiertos de esta manera serán más difíciles de detectar”, asegura Luis Corrons.