El malware utiliza cada vez más TLS para ofuscar la comunicación
Los expertos en seguridad que trabajan con Sophos publicaron recientemente un informe sobre las tendencias cambiantes en malware y ransomware. La publicación muestra que ha habido un aumento muy significativo de malware que utiliza TLS, o seguridad de la capa de transporte, para ofuscar la comunicación y evitar la detección.
TLS se refiere al protocolo de encriptación que maneja la comunicación en HTTPS regular, sucesor de SSL o capa de sockets seguros. TLS se utiliza en varias otras aplicaciones fuera de la comunicación HTTP segura.
Según las estadísticas publicadas por Sophos, el malware que usa TLS para comunicarse, ya sea que eso signifique recibir comandos de su servidor C2 o descargar cargas útiles adicionales, casi se ha duplicado. Hace un año, alrededor del 24% del malware utilizaba cifrado TLS en sus comunicaciones, mientras que esta cifra ha crecido hasta casi el doble, con un 46%.
La creciente adopción de TLS se debe al hecho de que esta capa adicional de ofuscación hace que sea mucho más difícil para los investigadores de seguridad detectar y prevenir la propagación de malware, incluido el ransomware.
El malware puede hacer uso de TLS en todos sus modos principales de comunicación, ya sea cargando datos robados de la red comprometida, comunicándose con su servidor C2 o descargando cargas útiles adicionales al sistema de la víctima.
Sophos declaró que una gran parte del problema de que TLS sea más frecuente en el malware es que los operadores de malware utilizan cada vez más plataformas web y basadas en la nube legítimas que están inherentemente protegidas con TLS. Las soluciones y servicios en la nube se utilizan comúnmente tanto para descargar datos robados como para alojar cargas útiles maliciosas.
El equipo de seguridad de Sophos afirma además que durante los últimos tres meses, más de la mitad de todos los servidores C2 utilizaron TLS y HTTPS para comunicarse con sus cargas útiles maliciosas asociadas. Un ejemplo de malware que utiliza servicios legítimos para sus fines es una cepa particular del ransomware BitLocker que descargó sus scripts maliciosos de una hoja de cálculo alojada en Google Docs, una vez más utilizando el cifrado TLS en el proceso.
Este es solo un ejemplo ilustrativo proporcionado por Sophos. La compañía también publicó estadísticas sobre el uso de destinos de llamadas a hogares de malware. Entre las grandes y legítimas soluciones de alojamiento, Google Cloud está a la cabeza con una participación del 9%, seguida por el proveedor de telecomunicaciones indio BSNL.
