Investigadores de la empresa Kaspersky Lab han identificado una nueva tendencia: los hackers informáticos utilizan cada vez más la esteganografía ­–versión digital de una antigua técnica para ocultar mensajes dentro de imágenes– para esconder las pistas de su actividad maliciosa en la computadora afectada. Recientemente fue descubierta una serie de operaciones de malware destinadas al ciberespionaje y varios ejemplos de malware creado para robar información financiera que utilizan esta técnica.

Cómo opera

En un ataque cibernético típico, una vez que el agente de amenazas está dentro de la red atacada, establece un punto de apoyo y luego recopila información valiosa para posteriormente transferirla al servidor de mando y control (C&C, por sus siglas en inglés). En la mayoría de los casos, las soluciones de seguridad ya probadas o los análisis profesionales de seguridad pueden identificar la presencia del agente de amenazas en la red en cada etapa del ataque, incluso en la de exfiltración.

Esto se debe a que esta parte normalmente deja “pistas”, como por ejemplo, un registro de conexiones a una dirección IP desconocida o incluida en lista negra. Sin embargo, cuando se trata de ataques en los que se utiliza la esteganografía, detectar la exfiltración de datos se convierte en una tarea difícil.

De acuerdo con esta compañía de seguridad, los usuarios malintencionados insertan la información que se va a robar en el código de una imagen visual trivial o en un archivo de video que luego se envía al servidor C&C. Por lo tanto, es improbable que un evento de este tipo provoque alguna alarma de seguridad o active una tecnología de protección de datos.

Esto se debe a que después de ser modificada por el atacante, la imagen en sí no cambia visualmente, y su tamaño, así como la mayoría de los otros parámetros, tampoco quedan alterados, lo cual no dará ningún motivo de preocupación.

Lo anterior hace que la esteganografía (del griego steganos: oculto, y graphos: escritura) sea una técnica lucrativa para los agentes maliciosos cuando se trata de elegir la forma de exfiltrar los datos de una red atacada.

Algunos casos detectados

En meses recientes, los investigadores de Kaspersky Lab han sido testigos de al menos tres operaciones de ciberespionaje que utilizan esta técnica. Lo que resulta más preocupante es que además de los agentes de ciberespionaje, la técnica también está siendo adoptada activamente por cibercriminales habituales.

Los investigadores de la firma han visto que se utiliza en versiones recientes de troyanos, entre ellas Zerp, ZeusVM, Kins, Triton y otros. La mayoría de estas familias de programas maliciosos generalmente se dirigen a organizaciones financieras y usuarios de servicios financieros. Esto último podría ser una señal de que esta técnica será adoptada en masa por los autores de malware y, como resultado, hará más compleja su detección de manera generalizada.

“Con la ayuda del análisis manual es relativamente fácil identificar una imagen ’cargada’ con datos confidenciales robados. Sin embargo, este método tiene limitaciones, ya que un analista de seguridad sólo podría analizar un número muy limitado de imágenes por día. Quizás la respuesta sea una combinación de ambos”, explicó Alexey Shulmin, analista de seguridad para Kaspersky Lab.

Agregó que en su compañía utilizan una combinación de tecnologías con el análisis automatizado y el intelecto humano, denominada HuMachine, para poder identificar y detectar tales ataques. Sin embargo, dijo, “hay margen de mejora en esta área y el objetivo de nuestras investigaciones es atraer la atención de la industria al problema e imponer el desarrollo de tecnologías confiables y asequibles, que permitan la identificación de la esteganografía en los ataques de malware”, aseveró Shulmin.