¿Qué es el software detection en el malware?

¿Sabes qué es el software detection en el malware y por qué es una técnica que se utiliza en los ciberataques modernos? Los softwares maliciosos actuales pueden llegar a ser altamente elaborados. No todos incluyen cada uno de los métodos posibles para evadir sistemas de ciberseguridad, pero sí es común que los malwares más potentes incluyan alguno de ellos. Por eso, para los analistas que se especializan en este tipo de programas, es necesario conocer las diferentes técnicas que un virus podría estar aplicando para no ser detectado.

Algunas de las técnicas más usadas para evitar el análisis y, por ende, la eliminación de los malwares se conocen como métodos antisandbox. Estos les permiten a los malwares reconocer cuándo están siendo ejecutados en entornos virtuales preparados para su análisis. En la medida que se den estos análisis, los expertos en ciberseguridad encontrarán soluciones y parches para el virus y, por eso, los atacantes buscan evitarlos.

Existen diferentes tipos de métodos antisandbox, simples y complejos. En este post, hablaremos sobre una técnica elaborada que no se encontrará presente en todos los malwares, pero definitivamente sí en algunos. A continuación, te explicaremos qué es el software detection en el malware.

¿Qué es el software detection en el malware?

El software detection es una función que se puede encontrar en algunos malwares, la cual consiste en identificar y bloquear ciertos tipos de software: principalmente aquellos relacionados con la seguridad informática, análisis, eliminación y detección de malware. Por eso, el tipo de malware que cuenta con esta función tiende a buscar programas como:

• Wireshark.
• Dumpcap.
• ProcessHacker.
• SysAnalyzer.
• HookExplorer.
• SysInspector.
• PETools.
• Process Explorer.
• Process Monitor.
• Regmon.
• Filemon.
• TCPView.
• Autorums.
• WinDBG.
• IDA Pro.

Estos programas, entre muchos otros, cumplen con funciones para la ciberseguridad, la detección, la eliminación y el análisis de programas maliciosos y, por eso, los malwares más avanzados intentarán eliminarlos o, si no lo logran, no desplegar sus tareas dañinas cuando los detectan.

Saber qué es el software detection en el malware es importante a la hora de analizar este tipo de programas. A causa de esta función, es necesario ejecutar los malwares en entornos virtuales que parezcan lo más reales posibles. Es decir, allí no deberíamos tener instalados programas que ellos detecten o, al menos, deberíamos ocultarlos muy bien.

Otros métodos antisandbox

Ya hemos hablado de qué es el software detection en el malware, pero esta función no es la única que puede encontrarse en el desarrollo de este tipo de software. Por eso, mencionaremos algunos otros métodos antisandbox, simples y complejos, que pueden encontrarse dentro del código malicioso de un malware moderno.

Métodos simples

En primer lugar, debes estar muy atento a los métodos antisandbox más simples. Estos son fáciles de evadir e identificar, pero si no los tienes presentes podrías dejar pasar un malware desapercibido en tus sistemas.

Los métodos antisandbox más simples se basan en identificar características típicas de la configuración de una sandbox. Es decir, son técnicas para que el malware reconozca ficheros, directorios y características que se suelen utilizar en entornos virtuales como VirtualBox o VMware, entre otros programas.

Métodos complejos

Por otra parte, nos encontramos con métodos complejos que se caracterizan por reunir varios procesos y funciones programables incluidas en el código del malware con el fin de evitar ser detectado, analizado y eliminado. Dentro de estas técnicas, por ejemplo, se encuentra el software detection que hemos descrito en este post. Adicional a eso, en el desarrollo de malware se pueden incluir funciones como:

• Sleep: desactivar el malware por completo durante un periodo de tiempo.
• Delay: ejecutar tareas benignas o neutrales durante un periodo de tiempo.
• Prueba de acceso a internet: ya que algunas sandbox no incluían estas salidas antes.
• Timing de la CPU: verificar el tiempo de procesamiento de la CPU y compararla con los valores normales de un equipo para saber si coinciden con los de un entorno virtual.
• Uso de ficheros atípicos: ahora, los malwares suelen venir en formatos poco comunes para evitar sistemas de ciberseguridad tradicionales.

¿Cómo aprender más?

Ahora sabes qué es el software detection en el malware y algunos otros métodos antisandbox, puedes aprender más para convertirte en un analista de malware experto gracias a nuestro Bootcamp en Ciberseguridad. ¡No dudes en apuntarte y especialízate en tan solo 7 meses!