Descubrir de dónde vino el malware

Caso de Uso

Ningún malware aparece espontáneamente en el dispositivo de la persona objetivo. Siempre proviene de alguna parte. A veces, ese lugar es obvio: la persona objetivo se da cuenta de que el enlace en el que hizo clic era malicioso. En otros casos, el vector de infección puede ser menos claro. Saber de dónde provino la infección puede ser importante para gestionar riesgos futuros. Si la fuente de infección inicial no estaba dirigida, es posible que la víctima haya sido víctima de una banda criminal sin otro objetivo que ganar dinero. Por otro lado, si la infección inicial provino de un sofisticado ataque de ingeniería social dirigido, es probable que enfrenten futuros ataques continuos del mismo autor de amenazas.

Objetivos

Después de completar este subtema, el profesional debe ser capaz de realizar lo siguiente:

• Comprender cómo funcionan las marcas de tiempo en dispositivos móviles y de escritorio.
• Mira los metadatos del sistema operativo para saber de dónde se descargaron los archivos maliciosos.

Sección Principal

Marcas de tiempo de archivos

El primer paso para rastrear el origen del ataque es establecer la hora en que se instaló el malware. Si has identificado el archivo de malware descargado, puedes utilizar las marcas de tiempo del archivo. Esto es más difícil de lo que uno podría imaginar al principio porque las marcas de tiempo del sistema de archivos son complicadas. La respuesta corta es comenzar con la hora de creación del archivo que se descargó primero. Ten en cuenta que los archivos extraídos de archivos pueden tener diferentes horas de creación; es importante empezar con el archivo real que se descargó.

Windows, macOS, Linux

Para obtener más información sobre las marcas de tiempo del sistema de archivos de escritorio, revisa este documento oficial de SANS sobre Windows, esta descripción de las marcas de tiempo casi infinitas sobre MacOS, esta descripción de las marcas de tiempo de Linux y una forma de ver la hora de creación de archivos en ext4.

iOS, Android

Para dispositivos móviles, MVT proporciona información de marca de tiempo. Para iOS, esto se describe en la documentación. Para Android, se extrae menos información y es posible que tengas que realizar comprobaciones en el dispositivo.

La aplicación Google Files mostrará la hora de modificación de un archivo desde el menú despegable de opciones para cada archivo.

Ten en cuenta que el malware móvil típicamente deja vestigios mucho menos evidentes en el sistema de archivos. Las formas comunes en que los dispositivos móviles se infectan son a través de aplicaciones falsas transferidas localmente, aplicaciones maliciosas en las tiendas de aplicaciones de Apple/Google, o mediante exploits sofisticados del navegador que obtienen acceso profundo al dispositivo antes de descargar cualquier archivo. En estos últimos casos, los archivos maliciosos pueden no aparecer en directorios de descarga comunes.

Mensajes/Descargas Sospechosos

Ya sea que encuentres un archivo malicioso o no, el siguiente paso es encontrar de dónde provino. Hay varios fragmentos que puedes recopilar y buscar.

En algunos sistemas operativos, las descargas están asociadas con su fuente. Esto significa que los archivos pueden contener metadatos que muestran desde qué servidor se descargaron. Esta guía muestra cómo verificar dicha información en Windows y Linux, mientras que esta otra hace lo mismo para macOS. Tales metadatos te mostrarán el servidor desde el cual se descargó el archivo, pero no lo que causó la descarga.¹ También ten en cuenta que el enlace en el que la persona objetivo hizo clic puede no ser la URL de descarga debido a redireccionamientos.

A continuación, busca correos electrónicos, mensajes, etc. que puedan haber activado la descarga. Puedes utilizar cualquier marca de tiempo e información de URL que identificó anteriormente como ayuda.

Verificación de habilidades

Para al menos cinco archivos en tu carpeta de descargas:

• Escribe todas las marcas de tiempo que contienen y lo que podrían indicar.
• Si están disponibles, encuentra los atributos extendidos o metadatos que describen desde qué URL o servicio se descargaron (en nuestras pruebas, no todos los archivos tenían información sobre URL en sus metadatos, así que no te preocupes si no puedes encontrarlo).

Pídele a un colega o mentor que revise tu trabajo para asegurarte de que has leído correctamente todos los metadatos.

En Android, instala una aplicación (no maliciosa) y utiliza el administrador de archivos para encontrar las propiedades de la aplicación y ver qué puedes aprender sobre ella. Si tienes acceso a un teléfono Android de prueba, descarga una aplicación desde fuera de Google Play y haz lo mismo. Pídele a un colega o mentor que revise tu trabajo para asegurarte de que has leído correctamente todas las propiedades de la aplicación.

Recursos Educativos

Notas