¿Qué es un antihook attack en informática?

¿Sabes qué es un antihook attack en informática y para qué se utiliza esta técnica en el desarrollo de malware? Los malwares o programas maliciosos son diseñados con el propósito de ejecutar tareas perjudiciales para un sistema y sus posibles usuarios. Actualmente, muchos de estos programas son altamente complejos y elaborados, por lo que pueden ser capaces de evadir medidas de ciberseguridad.

Además de sus tareas dañinas, los virus de la actualidad usualmente cuentan con sistemas para “ganarse la confianza” o, incluso, desactivar las funciones de seguridad y antivirus de un ordenador. Por eso, los analistas de malware deben tener conocimiento de las técnicas que más utilizan los creadores de programas maliciosos.

A continuación, te explicaremos qué es un antihook attack en informática, un método utilizado por los malwares actuales para evitar que los sistemas infectados monitoreen lo que hacen. Este método se considera un método antisandbox, es decir, una técnica para reconocer cuándo el programa está siendo ejecutado en un entorno virtual para estudiarlo.

¿Qué es un antihook attack en informática?

Los hooks en informática son algunos puntos concretos con mecanismos de manejo de llamadas del sistema, donde una aplicación está en capacidad de instalar una subrutina con el fin de monitorizar las órdenes que van al sistema y procesarlas antes de que lleguen al procedimiento de destino.

Este tipo de análisis está totalmente por fuera de los intereses de los ciberatacantes y, por eso, los creadores de malwares pueden desarrollar sistemas en sus códigos, con el fin de buscar aquellos puntos que actúan como hooks y deshabilitarlos. De este modo, el malware puede actuar a sus anchas en el sistema infectado y, además, pasar desapercibido mientras roba información o realiza acciones mediante órdenes al sistema.

¿Por qué se utilizan los antihook attacks?

Ahora sabes, a grandes rasgos, qué es un antihook attack en informática y por qué se utiliza en el malware. Sin embargo, posiblemente te estés preguntando en qué casos en específico se utiliza esta técnica.

¿Qué tipo de hooks son los que tienden a buscar los malwares y por qué motivos? Un uso muy común de este método antisandbox se hace con el fin de que el programa malicioso se pueda conectar a un servidor de internet. En otras palabras, los antihook attacks pueden ser necesarios para aquellos malwares que se conectan a una botnet.

En este caso en particular, el software malicioso debe encontrar aquellos hooks relacionados con monitorizar las peticiones del sistema a servidores de internet. Una vez deshabilitados, el programa no tendrá problema para seguir con su funcionamiento.

Métodos antisandbox complejos

Si bien ya hemos visto qué es un antihook attack en informática, existen otros métodos antisandbox complejos que vale la pena conocer. Los métodos se consideran complejos cuando reúnen una serie de funciones y procesos con el fin de evadir al entorno virtual. Es decir, no se basan en una mera comprobación de datos, sino que efectúan tareas complejas dentro del malware para garantizar que se oculte bien.

Los métodos antisandbox complejos suelen ser comprobaciones duraderas en el tiempo, lo cual, a su vez, puede permitir la detección del malware. Algunos de los métodos de evasión de sandbox de este tipo son:

• Función de sleep: desactiva el malware por completo, mientras pasa suficiente tiempo para que los programas de antivirus y antimalware hagan sus análisis.
• Función de delay: activa tareas no sospechosas en el equipo, como enviarle peticiones a páginas web confiables. De este modo, puede pasar desapercibido ante un análisis.
• Timing de la CPU: reconoce la velocidad de procesamiento de la CPU y la compara con los estándares de un ordenador común. Si nota cierto margen de diferencia, no despliega sus tareas maliciosas, pues identifica que podría estar dentro de una sandbox.
• Timing attack: activa el virus solo en ciertos días y a ciertas horas, según la conveniencia de los atacantes.
• Software detection: reconoce y desactiva los softwares más comunes de análisis, detección y eliminación de malwares.

Métodos antisandbox simples

Saber qué es un antihook attack en informática y otros métodos antisandbox complejos es importante a la hora de analizar malwares. No obstante, hay otras técnicas más simples que se usan en el desarrollo de malware para evadir máquinas virtuales y, por eso, es importante que las tengas presentes.

Básicamente, los métodos antisandbox simples son aquellos que se utilizan en los malwares para que estos puedan identificar características típicas de las máquinas virtuales en las que suelen ser analizados (como datos del sistema operativo, características del sistema, ficheros comunes, etc.). La forma de evitar esto en seguridad informática es verificar bien que la configuración de tu sandbox no le revele al malware que no está siendo ejecutado en un sistema común y corriente.

Ya has aprendido qué es un antihook attack en informática. Si quieres saber más sobre ciberseguridad y convertirte en un experto, ingresa a nuestro Bootcamp en Ciberseguridad y especialízate en solo 7 meses. ¡Inscríbete ahora!