IPFS, un nuevo playground para los desarrolladores de malware

No son pocos los proyectos diseñados tanto por organismos o empresas para la compartición de inteligencia sobre amenazas. Sin ir más lejos, ElevenPaths dispone de una plataforma de IoC para la detección temprana de amenazas sofisticadas. Sin embargo, cada vez es más frecuente identificar entre este tipo de amenazas, el uso de tecnologías descentralizadas con el objetivo de que un tercero no pueda bloquear cualquier comunicación con el C2C, la distribución de los payloads o de binarios para que siempre se encuentren accesibles. 

Un ejemplo de plataformas descentralizadas que han sido muy recurridas a lo largo del tiempo por determinados threat actors han sido las siguientes:

 

 

 

 

 

 

                                             Figura 5. Uso de FreeNet por parte de muestras de malware. 

Sin embargo, recientemente se han identificado en las bases de datos de inteligencia de amenazas de ElevenPaths, muestras de malware que estarían utilizando un protocolo relativamente nuevo como es el de InterPlanetary File System (IPFS, por sus siglas en inglés). 


El malware encontrado realiza resoluciones al dominio gateway.ipfs.io y ipfs.io, utilizado para el acceso a recursos de IPFS. No obstante, no se han observado descargas, motivado probablemente por el propio diseño de la muestra, la cual se construye de diferentes elementos y que las capacidades de descarga o comunicación tipo C2C mediante el uso de IPFS no hayan sido accionadas. 


En primer lugar, para su instalación utiliza diferentes tipos de instaladores de forma encadenada como Setup Factory Runtime, InstallCapital, Install Core o InstallCube. Con el objetivo de conseguir persistencia, utiliza diferentes técnicas como, por ejemplo, las tareas programadas del sistema. Asimismo, para evitar ser detectado realiza modificaciones en la configuración de seguridad del sistema mediante la desactivación del UAC, deshabilitando WindowsDefender y modificando el firewall de Windows. Y, además, otro tipo de técnicas comúnmente utilizadas es la utilización de DNS dinámicos o la inyección de procesos. 


Finalmente señalar que en los casos detectados se han encontrado muestras que incorporaban malware como en el gusano común Sality, el cual utiliza como método de propagación las unidades extraíbles y con capacidades de descargar malware adicional. Y, en otra de las piezas identificadas asociadas a IPFS, incorporaba Glupteba, un troyano que genera ingresos haciendo clic en publicidad en un sistema comprometido. 


El uso generalizado de este protocolo podría llevarse a cabo en el futuro debido a las características técnicas que ofrece. Al igual que se ha realizado con los torrents por su amplia utilización por diferentes tipos de muestras maliciosas, es probable que en el futuro sea necesario proteger los sistemas evitando conexiones a IPFS, con la consiguiente pérdida de fiabilidad en este sistema.