Los cazadores de software espía están ampliando su conjunto de herramientas

La industria de la vigilancia por contrato Últimamente, las potentes herramientas de spyware para móviles han recibido una atención cada vez mayor a medida que las empresas tecnológicas y los gobiernos se enfrentan a la escala de la amenaza. Pero el software espía que se dirige a las computadoras portátiles y de escritorio es extremadamente común en una variedad de ataques cibernéticos, desde el espionaje respaldado por el estado hasta las estafas con fines financieros. Debido a esta creciente amenaza, los investigadores de la firma de respuesta a incidentes Volexity y la Universidad Estatal de Luisiana presentaron en la conferencia de seguridad Black Hat en Las Vegas la semana pasada herramientas nuevas y refinadas que los profesionales pueden usar para detectar más software espía de PC en Windows 10, macOS 12 y computadoras linux.

El software espía de PC ampliamente utilizado, el tipo que a menudo registra objetivos, rastrea el movimiento del mouse y los clics, escucha a través del micrófono de una computadora y extrae fotos fijas o videos de la cámara, puede ser difícil de detectar porque los atacantes intencionalmente lo diseñan para dejar una huella mínima. En lugar de instalarse en el disco duro de un objetivo como una aplicación normal, el malware (o sus componentes más importantes) existe y se ejecuta solo en la memoria o RAM de la computadora de destino. Esto significa que no genera ciertas banderas rojas clásicas, no aparece en los registros regulares y se borra cuando se reinicia un dispositivo.

Ingrese al campo del “análisis forense de la memoria”, que está orientado precisamente hacia el desarrollo de técnicas para evaluar lo que está sucediendo en este espacio liminal. En Black Hat, los investigadores anunciaron específicamente nuevos algoritmos de detección basados ​​en sus hallazgos para el marco forense de memoria de código abierto Volatility.

“El análisis forense de la memoria era muy diferente hace cinco o seis años en cuanto a cómo se usaba en el campo tanto para la respuesta a incidentes como por parte de las fuerzas del orden”, dijo a WIRED el director de Volexity, Andrew Case. (Case también es un desarrollador líder de Volatility). “Ha llegado al punto en que incluso fuera de las investigaciones de malware realmente intensas, se necesita análisis forense de memoria. Pero para que la evidencia o los artefactos de una muestra de memoria se utilicen en un tribunal o en algún tipo de procedimiento legal, necesitamos saber que las herramientas funcionan como se espera y que los algoritmos están validados. Este último material para Black Hat es realmente algunas técnicas nuevas y duras como parte de nuestro esfuerzo por construir marcos verificados”.

Case enfatiza que se necesitan herramientas ampliadas de detección de software espía porque Volexity y otras empresas de seguridad ven regularmente ejemplos reales de piratas informáticos que implementan software espía solo de memoria en sus ataques. A fines de julio, por ejemplo, Microsoft y la firma de seguridad RiskIQ publicaron hallazgos detallados y mitigaciones para contrarrestar el malware Subzero de una compañía de software espía comercial austriaca, DSIRF.

“Víctimas observadas [targeted with Subzero] hasta la fecha incluyen firmas de abogados, bancos y consultorías estratégicas en países como Austria, el Reino Unido y Panamá”, escribieron Microsoft y RiskIQ. La carga útil principal de Subzero, agregaron, “reside exclusivamente en la memoria para evadir la detección. Contiene una variedad de capacidades que incluyen el registro de teclas, la captura de capturas de pantalla, la extracción de archivos, la ejecución de un shell remoto y la ejecución de complementos arbitrarios”.

Los investigadores se centraron particularmente en perfeccionar sus detecciones sobre cómo los diferentes sistemas operativos se comunican con “dispositivos de hardware” o sensores y componentes como el teclado y la cámara. Al monitorear cómo las diferentes partes del sistema se ejecutan y se comunican entre sí y buscan nuevos comportamientos o conexiones, los algoritmos forenses de memoria pueden detectar y analizar más actividades potencialmente maliciosas. Una indicación potencial, por ejemplo, es monitorear un proceso del sistema operativo que siempre se está ejecutando, digamos la función que permite a los usuarios iniciar sesión en un sistema y marcarlo si se inyecta código adicional en ese proceso después de que comienza a ejecutarse. Si el código se introdujo más tarde, podría ser un signo de manipulación maliciosa.