Prácticamente cualquier formato de archivo puede ser modificado para incluir malware. La técnica más usada para ello es la esteganografía, que es la técnica que permite ocultar información a plena vista en otro medio de datos. Hasta ahora, los formatos más usados para ello eran PNG y JPEG, pero ahora han conseguido meterlo también en WAV.
De los PNG y JPEG a los WAV: malware oculto en cada vez más archivos
Mediante esteganografía, es posible por ejemplo introducir texto dentro del código binario de una imagen. Esto es útil para los atacantes porque hay antivirus que no analizan archivos multimedia. Hasta ahora esto se hacía con PNG y JPEG sin problemas, pero dos investigaciones han conseguido hacerlo también con archivos WAV.
En la primera de ellas, Symantec afirmó que había descubierto a un grupo de ciberespionaje ruso llamado Waterbug (o Turla) usando estos archivos WAV para esconder y transferir código malicioso desde su servidor a ordenadores de víctimas que ya habían sido infectadas.
En la segunda, descubierta este mismo mes, BlackBerry Cylance descubrió algo similar a lo que encontró Symantec, pero a una escala más pequeña. Symantec dijo que era probablemente un equipo de hackeo gubernamental de una nación quien había llevado a cabo el ataque,pero el nuevo está siendo llevado a cabo por particulares para minar criptomonedas en los ordenadores infectados.
Para ello, el atacante escondía un archivo DLL dentro de los archivos de audio WAV. Con ello, un malware ya presente en el ordenador infectado descargaba y leía el archivo wav, extraía el archivo DLL bit a bit, y luego lo ejecutaba, ejecutando una herramienta para minar criptomonedas llamada XMRrig. La compañía que lo descubrió afirma que lo han detectado tanto en Windows para particulares como en la versión para servidores.
Los hackers son cada vez más sofisticados
Además, este es el primer caso en el que se ha detectado una herramienta para minar criptomonedas oculta usando esteganografía, lo que demuestra que los ataques son cada vez más sofisticados. Además, conforme diversas publicaciones muestran detalles de cómo usar la esteganografía, más y más atacantes lo implementarán en el futuro.
Además de formatos PNG, JPEG y WAV, la esteganografía puede usarse en cualquier formato de archivo. La clave es que el archivo modificado mantenga la misma estructura y limitaciones del formato original, de tal manera que las modificaciones que se le hagan no rompan su integridad. Defenderse ante esto es muy difícil, ya que los antivirus no pueden bloquear la descarga de archivos multimedia.
Además, lo importante de estos métodos es evitar que el ordenador se infecte en primera instancia. Es en un ordenador infectado donde se puede colar código no autorizado en un archivo multimedia usando la esteganografía. Si el ordenador no está infectado en primer lugar, no es posible hacer que el código oculto se convierta en malware.
