Dark Commerce, un informe de ElevenPaths y Blueliv sobre la industria del cibercrimen

El cibercrimen es una industria con una creciente economía de servicios, herramientas para la subcontratación, proveedores de servicios, canales y usuarios finales. Desde ElevenPaths nos hemos unido a la iniciativa de Blueliv para investigar este fenómeno y realizar un detallado informe al respecto, descubre en este post los puntos más destacados.

Cibercrimen, una industria en crecimiento

El tamaño de esta economía sumergida está creciendo. Los ciberdelincuentes de diferentes niveles de experiencia pueden adquirir las herramientas necesarias para lanzar una campaña maliciosa diseñada para atacar a empresas, gobiernos e individuos.

Es importante comprender cómo utilizan los atacantes estas herramientas y servicios para ayudar a las organizaciones a preparar las defensas y proteger sus activos. Para ello:

Crear un perfil completo de los threat actors
Analizar tendencias y patrones entre diferentes servicios utilizados
Defenderse de los ataques dirigidos

El primer informe de esta serie cubre los primeros elementos de esta industria: la adquisición de código malicioso y su preparación para una campaña.

Cómo obtienen el malware los ciberdelincuentes

Existen, a grandes rasgos, tres maneras de obtener el código malicioso:

Escribiendo su propio código
- Ventajas: se apropian de la campaña entera y pueden aprender de otros threat actors.
- Desventajas: es más laborioso, se necesitan habilidades específicas y los threat actors participan tanto en la parte operativa como en el desarrollo.
Contratando desarrolladores
- Ventajas: los servicios de consultoría pueden ofrecer los conocimientos de otros threat actors y desarrollar el código a medida según los requisitos.
- Desventajas: es más costoso, se requiere un alto nivel de interacción entre los proveedores y los clientes y, además, existen cargos ocultos por mantener la privacidad del proyecto.
Malware as a Service (MaaS)
- Ventajas: es fácil de buscar, con amplia diversidad de productos listos para utilizar y no es necesario un gran conocimiento técnico.
- Desventajas: el código no se puede modificar y, en ocasiones, puede ser detectado por los antivirus.

Malware disponible más popular

Los programas maliciosos más populares son los siguientes:

Information stealers
Banking Trojans
Ransomware
CC Sniffers
Cryptojackers
Phishing Kits
PoS malware

Los precios de los códigos maliciosos aumentan dependiendo de los objetivos, los sistemas operativos de destino, la funcionalidad y la versión del malware. Existen descuentos disponibles en algunos tipos de malware para dividir las ganancias por su uso entre los usuarios y los desarrolladores.

Evadir la detección

Ha habido un aumento en la popularidad del malware que incluye una gama de ofuscación, detección de sandbox y técnicas de bypass.

Estos son las herramientas y servicios más utilizados en todos los tipos de malware:

Packers: comprime los ejecutables maliciosos
Crypters: encripta los ejecutables maliciosos
Ofuscador: oculta, esconde o disfraza el código fuente. Muchos se consideran herramientas legítimas
Firma de código: solicitudes que llevan una firma oficial para confimar la integridad de la solicitud; identificar al autor del código

Pruebas de antivirus y evasión de listas negras

Los productos e infraestructura de malware finalizados deben ser probados antes de su despliegue. Suele hacerse de la siguiente manera:

Mediante escáneres de antivirus no distribuibles: los usuarios pueden probar los archivos, URLs, dominios y direcciones IP contra las protecciones de seguridad sin distribuir los elementos que escanean para proveedores de seguridad.

Los escaneos estáticos prueban el malware en los productos AV y generan informes. Los análisis dinámicos, en cambio, despliegan adicionalmente
el malware y proporcionan análisis durante el tiempo de ejecución.

Esto permite hacer cambios en la infraestructura, ajustar los productos antes del lanzamiento y mejorar la robustez de las herramientas.