Los piratas informáticos realizan ataques de descarga drive-by con infecciones sin archivos

Los ciberdelincuentes están infectando cada vez más las computadoras con malware que reside solo en la memoria para dificultar la detección de sus ataques.

Ataques recientes lanzados con el kit de explotación de Angler: un ataque basado en web inyectó código malicioso directamente en otros procesos y no creó archivos maliciosos en las computadoras afectadas, dijo un investigador de malware independiente conocido en línea como Kafeine el domingo en una publicación de blog.

Las amenazas de malware sin archivos no son nuevas, pero su uso es raro, especialmente en ataques a gran escala, porque no persisten en el reinicio del sistema cuando se borra la memoria de acceso aleatorio (RAM).

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

En un típico ataque de descarga drive-by las víctimas visitan un sitio web comprometido que redirige sus navegadores a una página de ataque, generalmente una página de inicio del kit de exploit. El exploit kit explora los navegadores en busca de versiones desactualizadas de Flash Player, Adobe Reader, Java o Microsoft Silverlight e intenta explotar vulnerabilidades conocidas en esos complementos para instalar malware.

La carga es generalmente un programa llamado dropper cuyo propósito es Descargue e instale uno o más programas de malware.

Los exploits de Angler vistos recientemente por Kafeine tuvieron una etapa final diferente. En lugar de instalar un programa de malware en el disco, inyectaron código malicioso directamente en el proceso del navegador, lo que hace que sea mucho más difícil para el software de seguridad detectar el ataque.

Kafeine dijo que sus herramientas habituales no podían capturar la carga y que incluso eludió un sistema de prevención de intrusiones basado en host (HIPS) que estaba usando.

La técnica de infección sin archivos abre una amplia gama de posibilidades para los atacantes, ya que proporciona una forma poderosa de evitar la detección de virus. Es ideal para ejecutar una sola vez programa de robo de información y les permite recopilar información sobre una computadora comprometida antes de implementar una amenaza más persistente que derrota sus defensas, dijo.

"La introducción del malware basado en la memoria es definitivamente un paso adelante para los ciberdelincuentes". dijo Bogdan Botezatu, analista senior de e-threat en Bitdefender, el martes por correo electrónico. "Sin embargo, no esperaba ver esta técnica incluida en un kit de exploits disponible comercialmente, ya que los delincuentes cibernéticos impulsados ​​por el dinero prefieren cambiar el sigilo por la persistencia".

El malware que reside solo en la memoria es más típico de alta perfil y ataques patrocinados por el estado, ya que permite a los atacantes infectar el objetivo, filtrar la información y no dejar rastros en el disco para el análisis forense, dijo Botezatu.