Anti-Malware Solution- How Does It Work?

Cómo funciona el antimalware

La protección antimalware funciona de dos maneras distintas:

• Detecta las líneas de código maliciosas dentro de un archivo.
• Es necesario aislar o evitar de alguna manera que el archivo se ejecute.

La forma específica en que el anti-malware detecta un archivo sospechoso o peligroso puede adoptar algunas formas diferentes, siendo los dos posibles caminos de abordaje los análisis estáticos y dinámicos.

Detección estática

El análisis estático de malware es una técnica crítica en la lucha contra el malware conocido basado en archivos. Se centra en analizar manualmente las características únicas de los archivos de malware. Para un análisis en profundidad adecuado, los profesionales de la seguridad generalmente confían en múltiples copias de cada tipo de familia de malware, extraídas de:

• Repositorios en línea
• La red oscura
• Computadoras infectadas

Aspectos como el tamaño del archivo, las funciones importadas y exportadas, los hashes y las cadenas imprimibles se incluyen en este análisis estático, lo que permite comprender las acciones de un malware que luego se recopilan en firmas compartibles.

Formatos de firma

Los formatos de firma como YARA desempeñan un papel esencial en este proceso, ya que permiten a los analistas elaborar descripciones de familias de malware y compartirlas con herramientas compatibles. Cada regla YARA consta de un conjunto de cadenas y una expresión booleana, lo que permite la detección precisa de la naturaleza de un código independientemente del contexto más amplio.

De esta manera, es posible que el malware que solo infectó a una compañía sea analizado e implementado en las defensas de toda una industria.

La eficacia de la detección basada en firmas depende en gran medida del número de muestras de malware analizadas. Cuando los analistas sólo tienen un conjunto limitado de muestras, o incluso sólo una única muestra, la firma resultante es menos efectiva y mucho más susceptible a falsos positivos.

Además, escanear rápidamente archivos más grandes requiere más recursos. Aunque restringir los análisis de archivos en función del tamaño puede mejorar el rendimiento, también abre una vulnerabilidad completamente nueva en el proceso de descubrimiento: los autores maliciosospueden explotar esto inflando archivos con código innecesario para evadir la detección.

Análisis dinámico

Una alternativa al análisis estático del escaneo de firmas de archivos es la heurística. Este nuevo enfoque se centra en analizar el comportamiento de los archivos en tiempo real, en lugar de intentar adivinarlo a partir del código sin procesar. Es en parte una respuesta a técnicas de amenaza avanzadas como:

• Ofuscación de código
• En parte, una defensa dirigida contra nuevas cepas de malware

La heurística está en el corazón del análisis del comportamiento de usuarios y entidades (UEBA): cuando se aplica a una organización más amplia, UEBA se basa en algoritmos para estudiar el comportamiento de los usuarios, enrutadores, terminales y servidores.

Análisis heurístico dinámico y UEBA

Pero antes de UEBA, el análisis heurístico dinámico se basaba en un sandbox. Es dentro de esta sección aislada y acordonada del entorno de ejecución donde se ejecuta una copia del archivo sospechoso.

Posteriormente se realiza un seguimiento de sus actividades. Si el archivo comienza a hurgar en los registros del sistema, intenta establecer conexiones con un servidor desconocido o se comporta mal, el programa anti-malware lo etiqueta como malicioso, lo termina y evita su descarga en el dispositivo de la compañía.

Pero en el interminable juego del gato y el mouse de la ciberseguridad, algunos atacantes descubrieron que sus archivos maliciosos primero podían ejecutar una verificación. Al establecer si es probable que estén en un sandbox o no, un número cada vez mayor de cepas de malware avanzado ahora se niegan a ejecutar si detectan un entorno completamente vacío o recién creado.

Esto nos lleva a la forma más avanzada de anti-malware: UEBA.

Obtenga protección contra malware de vanguardia con Check Point Harmony

El Reporte de Ciberseguridad 2024 de Check Point detalla los actores de amenazas más importantes del año en las APT de los estados-nación y los grupos de ataque que se benefician.

Si Check Pointdesea vermalware de primera mano las capacidades anti- de, no dude en reservar una demostración y explorar la plataforma líder del mercado por sí mismo.