¿Qué es Mylobot y cómo funciona este malware?

En 2017, los investigadores de seguridad detectaron alrededor de 23.000 muestras de malware cada día, lo que equivale a aproximadamente 795 piezas de malware producidas cada hora. Suena terrible, pero en realidad la mayoría de estas muestras son variaciones de malware existente, sólo que utilizan un código diferente para crear una "nueva" firma. Sin embargo, recientemente ha surgido un nuevo malware muy sofisticado llamado Mylobot.

¿Qué es Mylobot?

Mylobot es un malware botnet que contiene una gran cantidad de intenciones maliciosas. Tom Nipravsky, investigador de seguridad de Deep Instinct, fue el primero en descubrir este malware.

Este malware combina una serie de complejas técnicas de infección y ofuscación en un potente paquete. Estas son las técnicas utilizadas en Mylobot:

• Técnica anti-máquina virtual (VM) : este malware examina el entorno informático en busca de signos de uso de máquinas virtuales . Si se encuentra algún indicio de que el usuario está utilizando una máquina virtual, no se ejecutará.
• Técnicas anti-sandbox : Muy similares a las técnicas anti-máquinas virtuales.

Ver más: 7 mejores aplicaciones Sandbox para Windows 10

• Técnicas antidepuración : impiden que los investigadores de seguridad trabajen eficazmente en una muestra de malware cambiando el comportamiento de un determinado programa de depuración.
• Envuelva las partes internas con un archivo de recursos cifrado : proteja el código interno del malware con cifrado.
• Técnica de ataque de inyección de código : Mylobot ejecuta código personalizado para atacar el sistema, infectando procesos con este código para acceder e interrumpir las operaciones regulares.
• Identificador vacío : el atacante crea un nuevo proceso en estado suspendido y luego lo reemplaza con un proceso oculto.
• Técnica EXE reflexiva : ejecute archivos EXE desde la memoria en lugar de hacerlo en el disco.
• Mecanismo de retraso : el malware tarda 14 días antes de conectarse al servidor de comando y control.

Mylobot realiza una variedad de técnicas para permanecer oculto.

Las técnicas anti-sandbox, anti-depuración y anti-máquinas virtuales intentan evitar que se detecte malware durante el escaneo con software anti-malware , así como evitar que los investigadores de seguridad aíslen malware en un entorno virtual o sandbox para análisis e investigación. .

Mylobot utiliza EXE reflectante para hacerlo aún más difícil de detectar porque no funciona directamente en el disco, por lo que no puede ser analizado por software antivirus o antimalware.

"Su estructura de código es muy compleja, este es un malware de múltiples subprocesos, cada subproceso es responsable de implementar diferentes capacidades del malware", escribió Nipravsky en una publicación. Y también mencionó: “Este malware contiene tres capas de archivos, anidados uno dentro del otro, donde cada capa es responsable de ejecutar la siguiente. La capa final utiliza la técnica reflectante EXE".

Junto con las técnicas de antianálisis y antidetección, Mylobot puede demorar 14 días y luego establecer contacto con su servidor de comando y control. Cuando Mylobot establece una conexión, la botnet desactiva Windows Defender y Windows Update , además de cerrar algunos puertos del Firewall de Windows.

Mylobot busca y elimina otros tipos de malware

Una de las características interesantes y poco comunes de este malware Mylobot es que tiene la capacidad de buscar y destruir otro malware. A diferencia de otros programas maliciosos, Mylobot está listo para destruir este tipo de malware si está presente en el sistema. Escanea la carpeta de datos de la aplicación del sistema en busca de archivos y carpetas de malware comunes. Si encuentra algún archivo o proceso específico, Mylobot lo "eliminará".

Entonces, ¿qué hace exactamente Mylobot?

La función principal de Mylobot es controlar el sistema, desde el cual el atacante tiene acceso a información de inicio de sesión en línea, archivos del sistema, etc. El nivel de daño depende del atacante del sistema. Puede causar grandes daños, especialmente cuando penetra en el entorno empresarial.

Mylobot también está vinculado a otras botnets como DorkBot, Ramdo y la infame red Locky. Si Mylobot actúa como un "conducto" para botnets y otros tipos de malware, entonces esto es un verdadero desastre.

Cómo contrarrestar a Mylobot

La mala noticia es que Mylobot lleva más de dos años infectando sistemas. Su servidor de comando y control se encontró por primera vez en noviembre de 2015. Mylobot eludió a todos los demás investigadores y empresas de seguridad durante mucho tiempo antes de ser descubierto por la herramienta de investigación de redes de "aprendizaje profundo" de Deep Instinct.

Las herramientas antivirus y antimalware convencionales no pueden proteger contra Mylobot, al menos por el momento. Ahora que está disponible una muestra de Mylobot, muchos investigadores y empresas de seguridad pueden utilizarla para encontrar medidas contra este malware.

Mientras tanto, deberías consultar nuestra lista de antivirus y herramientas de seguridad informática . Aunque estas herramientas no pueden destruir Mylobot, pueden detener otro malware. Además, puede consultar el artículo Eliminar completamente el software malicioso (malware) en computadoras con Windows 10 .

Ver más:

• 9 cosas que hacer cuando descubres que tu computadora está infectada con malware
• ¿Cuántos tipos de malware conoces y sabes cómo prevenirlos?
• 10 tipos típicos de malware