Pasos iniciales y comprobaciones para detectar malware

Estudio de caso

Hay un dispositivo cuyo estado de seguridad se desconoce y el propietario quiere investigar la posibilidad de infección o vulneración previa. Quizá le entregaron este dispositivo de manera presencial, o dará apoyo al cliente de forma remota. Use diferentes herramientas de escaneo propias listas para usar o integradas, así como comprobaciones de integridad para identificar, analizar y buscar Indicadores de Compromiso (IoC) con el fin de detectar una vulneración o un determinado malware sospechoso.

Objetivos

Después de completar este módulo, el profesional debe ser capaz de:

• Utilizar herramientas populares de detección de malware, como antivirus o las integradas en su sistema operativo, para ayudarle en su análisis.
• Comprender algunas protecciones antimalware básicas dentro de los sistemas operativos modernos y cómo verificar si se están ejecutando o si han sido deshabilitadas.

Sección Principal

Antimalware listo para usar (todas las plataformas)

El método menos trabajoso para detectar malware conocido es simplemente utilizar un escáner de malware para examinar en vivo el sistema del dispositivo del cliente. Tenga en cuenta que la calidad de los productos antivirus puede variar ampliamente, pero la mayor parte de los productos detectan la mayoría del malware conocido. A continuación, encontrará varios enlaces a algunos escáneres de malware comunes para sistemas operativos de escritorio:

• 🧰 Windows: Microsoft Defender es gratuito y está integrado en Windows. Se pueden utilizar varias herramientas comerciales AV, cada una con sus ventajas y desventajas. Aquí sugeriremos MalwareBytes. Tenga en cuenta también AdwCleaner de MalwareBytes para eliminar Adware y Programas Potencialmente no Deseados¹.
• 🧰 MacOS: Del mismo modo recomendamos utilizar Malwarebytes. Avast Free Antivirus también es una opción gratuita.
• 🧰 Linux: ClamAV es un antivirus de código abierto para Linux. También está disponible para otras plataformas.
• 🧰 Android: Varios proveedores, como LookOut ofrecen antivirus para Android gratuitos o de pago y protecciones adicionales de seguridad móvil. ClamAV se implementa en Android en la Hypatia app vía F-Droid.
  • Google Play Protect escaneará aplicaciones en tu teléfono, incluso aquellas que no hayan sido descargadas de Google Play Store. Haz clic en el enlace para obtener más detalles e instrucciones sobre cómo iniciar un escaneo.

💡Comparado con los sistemas operativos de escritorio, el antivirus diseñado para Android tiene una capacidad más limitada; puede escanear todas las aplicaciones instaladas, pero no es capaz de buscar posibles spyware avanzados ocultos en el sistema. Además, es posible que no pueda eliminar el malware que detecte.

• 🧰iOS: No existen escáneres de malware completos para iOS. La seguridad integrada en iOS significa que las aplicaciones no pueden escanear otras aplicaciones instaladas. Varios proveedores de antivirus tienen aplicaciones para iOS, pero suelen tener otras funciones, como bloquear sitios web de phishing o verificar si el teléfono está actualizado.

Consejos y habilidades para utilizar antivirus listos para usar para detectar Malware

Uno de los primeros pasos al buscar malware es instalar un programa antivirus y permitir que realice un escaneo en el sistema. Después de que el escaneo se haya completado, la mayoría de los programas generarán algún tipo de registro con información adicional sobre los resultados, los que recomendamos revisar. Si los programas antivirus detectan un archivo potencialmente sospechoso, pueden “ponerlo en cuarentena”, lo que significa que el archivo será bloqueado del resto del sistema operativo para que no pueda abrirse accidentalmente o causar más estragos. Si desea realizar un análisis adicional de ese archivo, es posible que necesite sacarlo de la cuarentena; consulte la documentación de su programa antivirus sobre este tema.

Debe tenerse en cuenta que el malware moderno no siempre contiene archivos maliciosos. En su lugar, puede que contenga scripts legítimos que realizan tareas maliciosas que, de alguna manera, se vuelven persistentes. Las aplicaciones antivirus escanearán dichas tareas, por lo tanto, en los registros que proporcionen, no solo habrá “archivos”.

Debe ser consciente de las limitaciones de los programas antivirus y por qué no constituyen una solución total para el malware. Los diferentes programas antivirus utilizan distintos motores de detección. Algunos de estos motores detectarán algunos tipos de virus y otros malware, pero ningún motor es cien por ciento efectivo.

Por esta razón, si tiene una muestra, puede ser que prefiera subir archivos potencialmente sospechosos a VirusTotal. Este programa verifica el archivo utilizando una serie de motores disponibles comercialmente y proporciona información adicional que puede ayudarle a determinar si un archivo es malicioso. Tenga en cuenta que si envía un archivo a VirusTotal, este permanecerá en el sitio web y podrá ser descargado (y rastreado) por cualquier persona con una cuenta de pago. Por lo tanto, si usted está manipulando archivos que contienen información potencialmente sensible o no desea que se haga público que lo está analizando, es mejor generar un hash del archivo2 y buscarlo en VirusTotal. Finalmente, recuerde que VirusTotal solo utiliza motores estáticos y, por lo tanto, su detección puede ser menos efectiva que la de un antivirus que se ejecuta en un sistema en vivo. Para obtener más información sobre esta habilidad, revise el Módulo 8 sobre Detección basada en muestras. Para obtener más información sobre las habilidades de VirusTotal, complete la actividad en el Capítulo 7 de la Guía de Campo para Respuesta a Incidentes para la Sociedad Civil y Medios.

Si bien los motores antivirus modernos intentan buscar comportamientos similares al malware y bloquear ejecutables que cumplan con este criterio, esas pruebas son todavía relativamente rudimentarias. Los antivirus principalmente reconocen malware basándose en los IoCs que se les proporcionan; por lo tanto, rara vez detectan malware nuevo o menos conocido.

Asimismo, los atacantes suelen probar su malware con programas antivirus conocidos y modificarlo para que no se pueda detectar fácilmente, por ejemplo, mediante ofuscación, codificación, compresión o encriptación. Algunos malware intentarán desactivar los programas antivirus o agregarse a una lista de excepciones para no ser escaneados. Otro tipo de malware puede engañar a los usuarios para que los desactiven. Por esta razón, recomendamos instalar un nuevo programa antivirus en un sistema potencialmente vulnerable y ejecutar un escaneo. Al terminar, puede desinstalar el programa.

Cuando encuentre malware o adware en la computadora de alguna persona, incluidos los casos de malware o adware genérico, se recomienda trabajar con el propietario del dispositivo para entender cómo el malware se pudo instalar en el dispositivo (descrito en el Módulo 10) y luego eliminar la infección (descrito en el Módulo 11). Saber cómo se instaló el malware puede llevarle a descubrir una la falta de controles, a detectar comportamientos riesgosos o incluso cuestiones relativas a la cadena de suministro (por ejemplo, dispositivos enviados preinstalados con programas potencialmente no deseados) que deben abordarse.

Triage/Listas de Verificación para comprobar si faltan protecciones

Todos los sistemas operativos modernos utilizan alguna forma de protección integrada o los llamados “jardines vallados” (como tiendas de aplicaciones o Smart Screen) que impiden a los usuarios ejecutar archivos que el sistema operativo considera seguros. Al verificar si estas protecciones se han desactivado, eliminado o catalogadas como error, obtendrá una valiosa indicación de que es posible que se hayan producido mayores vulneraciones. Si alguna de esas protecciones no está funcionando, no necesariamente significa que hayan sido desactivadas por malware; un usuario podría haberlas desactivado manualmente para ejecutar cierto software o podrían haber sido objetivo de un ataque de ingeniería social que los convenció de desactivar algunas de esas características. Si vuelve a habilitar esas protecciones, es probable que detenga la ejecución de una gran cantidad de malware o restrinja el daño que puede causar a un sistema.

Una cosa que puede hacer en todos los sistemas es verificar los navegadores web que están instalados y ver si tienen alguna nueva extensión que usted noreconozcas. Si tienen dichas extensiones, realice una búsqueda en la web para ver qué hacen, si podrían ser potencialmente maliciosas y, si lo son , qué tipo de malware podría haberlas instalado ²

Para todos los dispositivos, recomendamos consultar esta lista de verificación rápida de triage.

Windows

Revise el Centro de Seguridad Windows Defender (o eche un vistazo rápido en Windows Security/Security), donde encontrará varios ajustes de seguridad de Windows, incluyendo si Windows Defender está actualmente en ejecución. Tenga en cuenta que las funciones antivirus de Windows Defender podrían desactivarse automáticamente si instala un antivirus de terceros. Este es un comportamiento predecible. En cualquier caso, un programa malicioso puede haber logrado agregarse a una lista de excepciones (lista de permitidos) instruyendo a la herramienta antimalware que no lo verifique. Puede verificar que no haya excepciones no deseadas en Windows Defender siguiendo estas instrucciones. Otros productos antimalware de terceros pueden ofrecer la misma funcionalidad. El panel de configuración te permitirá verificar el estado de varias otras protecciones integradas, como Protección basada en Reputación, Aislamiento Central, y Arranque Seguro, entre otros.

Windows utiliza Smart App Control (llamado SmartScreen antes de Windows 11, que ahora es la versión basada en web del producto integrado en el navegador Edge) como un mecanismo para verificar la reputación de los ejecutables antes de usarlos. Revise Smart App Control (Win 11) en Windows en Configuración de Seguridad para ver si ha sido desactivado. Busca la configuración de Smart Screen en versiones anteriores de Windows.

Mac OS

• macOS tiene varios mecanismos cuyo objetivo es detener la ejecución de malware. Aun así, un atacante malintencionado podría encontrar formas de evitarlos. Lea sobre las diferentes protecciones que existen en macOS. Esta guía avanzada proporciona una visión detallada de las protecciones de macOS y de las bases de datos que utilizan. Los usuarios avanzados podrían revisar esas bases de datos para detectar actividad inusual, aunque se trata de un trabajo forense en profundidad que va más allá del alcance de esta ruta de aprendizaje.
• Uno de los mecanismos antimalware más importantes en macOS se llama Gatekeeper. Todos los sistemas macOS deben tener Gatekeeper habilitado, especialmente para dispositivos que ejecutan datos confidenciales. Sin embargo, ha habido casos en los que el malware deshabilitó las protecciones Gatekeeper para poder ejecutar más códigos maliciosos en sistemas macOS. Los usuarios pueden haber sido objetivo de ataques de ingeniería social que los persuadieron de desactivar esta función. Puede ejecutar “spctl –status” en la Terminal de macOS para ver si Gatekeeper, su medida estándar contra malware, está habilitada o deshabilitada.³ Si Gatekeeper está deshabilitado, asegúrese de activarlo (esto detendrá la ejecución de la mayoría del malware) e investigue, tal vez verificando el historial de la línea de comandos, cómo pudo haber sucedido esto.

iOS

• iOS admite la carga de perfiles personalizados. Por lo general, se usan para conectarse a redes corporativas o universitarias, pero un atacante podría usarlos para interceptar su tráfico. Vaya a la configuración de su dispositivo iOS y verifique si se ha instalado algún perfil. Si unalgúnl pareciera sospechoso y el usuario no recuerda haberlo instalado, esto podría ser un indicio de actividad maliciosa. En este caso, es bueno documentar todo lo que pueda encontrar sobre este perfil, tomar capturas de pantalla y luego eliminarlo.
• iOS también tiene Atajos, que normalmente se utilizan para automatizar determinadas funciones del dispositivo, como comprimir imágenes o convertir texto. La aplicación suele ser bastante buena para describir lo que hacen los atajos en un lenguaje sencillo (aunque algunos atajos te permiten ejecutar JavaScript personalizado). Al igual que con los perfiles, si ve algún atajo que parezca sospechoso documéntelo a través de capturas de pantalla y luego elimínelo. Tenga en cuenta que cada versión de iOS podría instalar algunos atajos nuevos, por lo que es mejor informarse sobre estos también, usar capturas de pantalla para documentarlos y luego eliminarlos. En general, es increíblemente difícil que el malware instale perfiles o atajos personalizados; es mucho más fácil para un atacante cargarlos a través de la ingeniería social o teniendo acceso breve a un dispositivo desbloqueado.
• Considere la seguridad de la cuenta de iCloud de los usuarios, ya que lal vulneración de esta cuenta puede dar acceso a datos significativos del dispositivo iOS. Realice una revisión de la seguridad de la cuenta de Apple ID y haga cambios: por ejemplo cambios de contraseña, autenticación en dos factores (2FA), eliminación de acceso de aplicaciones y cierre de sesión en dispositivos, si es necesario. El Safety Check de Apple contiene una función de revisión que podría ayudarte con esto.
• En ocasiones, los atacantes envían mensajes de texto o iMessages con enlaces maliciosos a personas a las que buscan atacar. Si se hace clic en los enlaces, estos podrían contener un malware o una carga útil de ingeniería social. Es una buena idea revisar los iMessages y mensajes de texto recientes para ver si alguno contiene enlaces sospechosos u otro contenido malicioso.
• Para obtener más información sobre los conceptos básicos de triaje de iOS, revise el capítulo 12 de la guía de campo.
• Algunos atacantes intentan agregar un nuevo dispositivo que controlan en la lista de dispositivos enlazados en el mensajero de una persona objetivo, como WhatsApp o Signal. De esa manera, todos los mensajes que la persona enviaría y recibiría también se copiarían en el dispositivo del atacante. Este ataque generalmente es causado por una persona que tiene acceso físico directo en lugar de malware. Verificar dispositivos enlazados no reconocidos en WhatsApp, Signal, Telegram, y otras mensajerías también deberían ser una parte clave del proceso de triaje.

Android

• Para Android, revise el capítulo 8 de la guía de campo, que muestra cómo puede hacer un triaje de aplicaciones potencialmente sospechosas observando los diversos permisos (como acceso a fotos, cámara o micrófono) que están solicitando.
• Revise las aplicaciones que tienen un control adicional sobre el dispositivo y las aplicaciones relacionadas y habilitadas bajo Aplicaciones de Administrador del Dispositivo en la configuración de Android. El usuario debería saber a qué aplicaciones se les ha otorgado estos privilegios. Normalmente son aplicaciones corporativas u oficiales de prevención de robo de dispositivos que permiten el que se puedan borrar de forma remota. En caso de que se hayan otorgado permisos de administrador a aplicaciones no reconocidas, desactívelas y realice una investigación más a fondo.
• Instalación desde Fuentes Desconocidas es otro permiso de Android que puede otorgarse a una aplicación para permitirle instalar otras aplicaciones. Esto elude el “jardín vallado” de protección de las tiendas de aplicaciones oficiales como Google Play Store o Galaxy Store. En algunos instancias esto puede ser deseable, como en el caso de la tienda de aplicaciones de código abierto F-Droid. Sin embargo, si usted descubre que se ha otorgado este permiso a Bluetooth, un navegador, un mensajero instantáneo, una aplicación de archivos o una aplicación de envío/transmisión, esto indica que el propietario del dispositivo ha instalado aplicaciones desde fuentes de aplicaciones no seguras y se requerirá de una investigación adicional.
• En ocasiones, los atacantes envían mensajes de texto con enlaces maliciosos a personas a las que quieren impactar. Si se hace clic en alguno de esos enlaces, el mismo podría contener un malware o una carga útil de ingeniería social. Es buena idea revisar los mensajes de texto recientes para ver si alguno contiene enlaces sospechosos u otro contenido malicioso
• Verifique la Información de la Aplicación si es posible desinstalar la aplicación. Si no es así, se trata de una aplicación preinstalada. Esto además podría ser un problema (algunos teléfonos más baratos tienen malware preinstalado), pero excluye la determinación de un objetivo y también es mucho menos probable en teléfonos más caros.
• Verifique si Google Play Protect está activado.
• Algunos atacantes intentan agregar un nuevo dispositivo que controlan en la lista de dispositivos enlazados en el mensajero de una persona objetivo, como WhatsApp o Signal. De esa manera, todos los mensajes que la persona objetivo enviaría y recibiría también se copiarían en el dispositivo del atacante. Este ataque generalmente es causado por una persona que tiene acceso físico directo en lugar de malware, pero que verificar dispositivos enlazados no reconocidos en WhatsApp, Signal, Telegram, y otras aplicaciones de mensajería instantánea también deberían ser una parte clave del proceso de triaje.

Vale la pena señalar que las configuraciones de seguridad varían entre las diferentes versiones de iOS y Android. Las versiones más recientes de iOS, por ejemplo, requieren que los perfiles estén firmados digitalmente, lo que debería dificultar que los atacantes los aprovechen. De manera similar, muchas actualizaciones de software cambian la forma en que los sistemas gestionan los permisos o las notificaciones. Una buena práctica general es que las versiones sucesivas de iOS y Android tienen requisitos de seguridad más estrictos en lo que respecta a automatizaciones, aplicaciones y permisos.

Práctica

Windows y macOS

1. Windows: revise el sistema a través del Centro de seguridad de Windows Defender. ¿Nota algo sospechoso?
2. Mac OS: use la línea de comando para verificar si Gatekeeper está habilitado.

Android e iOS

1. Revise varias de sus aplicaciones y busque qué permisos tienen. ¿Hay alguna aplicación que no reconoce o alguna que solicita demasiados permisos? En Android: ¿Alguna de esas aplicaciones que no reconoce está preinstalada?
2. Sólo iOS: revise su dispositivo en busca de atajos y perfiles instalados que no reconozca.
3. Use un motor de búsqueda para encontrar el texto completo de un mensaje que haya recibido y que pueda parecer extraño o sospechoso. Si no tiene mensajes de texto extraños o sospechosos, busque un mensaje estándar de su operador de red. ¿Cuánta información puede encontrar en línea sobre el número que envió este mensaje y sobre el mensaje en sí mismo?

Verificación de habilidades

Android e iOS

1. Android: Lea toda la Documentación de Android sobre permisos. No es necesario que entienda el código fuente, el objetivo es simplemente tener un conocimiento general sobre cómo funcionan los permisos. Piense sobre qué podría hacer una aplicación maliciosa y qué datos podría extraer con los permisos descritos en la especificación de Android. Asimismo, reflexione sobre qué medidas adopta el sistema operativo para minimizar el riesgo de que las aplicaciones abusen de los permisos. Elabore una lista de cinco a diez acciones que una aplicación maliciosa con amplios permisos del sistema podría realizar, y anote dos o tres situaciones indeseables que las prácticas recomendadas de permisos de aplicaciones podrían mitigar. Si está trabajando con un colega o mentor/a, comparta la lista que compiló y pídales que verifiquen si has entendido correctamente los permisos de la aplicación, cómo alguien podrían abusar de estos permisos y las mitigaciones que puede llevar a cabo Android para evitar que esto suceda.
2. iOS: Lea toda la descripción del Modo de Bloqueo de iOS, una configuración especial para personas en alto riesgo de ataques dirigidos, especialmente a través de spyware mercenario. Enumere algunas respuestas a las preguntas que verá más abajo. Tenga en cuenta que no hay respuestas correctas o incorrectas a esas preguntas, ya que el Modo de Bloqueo, al igual que otros mecanismos de seguridad, lo que buscan es un equilibrio entre seguridad y funcionalidad. Algunas de esas preguntas requieren un conocimiento más profundo de ataques previos contra iOS y podrían requerir una pequeña investigación adicional. Animamos a los estudiantes a leer sobre el tema de jailbreak.
3. ¿Por qué el Modo de Bloqueo restringe la mayoría de los archivos adjuntos en Apple Messages? ¿Por qué no los bloquea en aplicaciones como WhatsApp?
4. ¿Se le ocurre alguna razón por la cual el Modo de Bloqueo restringe ciertas funciones de navegación web?
5. El Modo de Bloqueo, una vez habilitado, no permite la instalación de perfiles personalizados. ¿Por qué cree usted que los perfiles que se instalaron antes de que el usuario activara el Modo de Bloqueo todavía pueden operar?

Si está trabajando con un compañero/a o mentor/a, discutan juntos sus respuestas a las preguntas anteriores y pídales que verifiquen si ha entendido correctamente el Modo de Bloqueo.

Recursos Educativos

Notas