¿Cómo funciona el malware CloudEyE?
CloudEyE es efectivo principalmente debido a su método de infiltración. Esta forma de malware emplea el empaquetador Nullsoft Scriptable Install System (NSIS), un empaquetador de código abierto que los desarrolladores suelen emplear para crear instaladores de Windows. A medida que el malware está empaquetado con NSIS, se vuelve mucho más difícil para el software antivirus escanear y detectar CloudEyE antes de que se infiltre en un sistema.
CloudEyE comprime su carga útil empleando el empaquetador NSIS y, a continuación, cifra aún más su malware para ofrecer una capa adicional de ofuscación. Cuando alguien descarga el archivo en su computadora o dispositivo, GuLoader se ejecutará, descifrará su malware, lo descomprimirá y luego lo ejecutará en el sistema para comprometer el dispositivo.
Una vez en un dispositivo, CloudEyE puede proporcionar acceso a cualquier número de programas adicionales que comprometen aún más un sistema, como el ransomware que mantiene su dispositivo como rehén u otro malware que proporciona atajo a los actores de amenazas al dispositivo.
Otra razón por la que CloudEyE es capaz de evadir la detección es que emplea tres métodos para buscar tecnología de virtualización y sandboxes:
- Escaneo de herramientas de VM: Las herramientas de VM ayudan a los desarrolladores a crear entornos seguros para el análisis de malware. Si CloudEyE busca herramientas de VM y ve rastros de alguna de estas herramientas, como VirtualBox, VMware o Flare VM, no se ejecutará.
- Escaneo de Sandbox: Los sandboxes son entornos virtualizados que los expertos en ciberseguridad emplean para aislar el malware y luego examinarlo. CloudEyE buscará espacios aislados y evitará la ejecución si detecta alguno.
- Examen del depurador: Por último, CloudEyE buscará cualquier depurador en un sistema, como x64dbg, WinDbg y OllyDbg. Si se detecta algún sistema depurador, GuLoader no se ejecutará.
Con estos sistemas de escaneo implementados, es extremadamente difícil detectar CloudEyE, lo que hace casi imposible que los investigadores de ciberseguridad identifiquen, aíslen y estudien el malware para desarrollar estrategias defensivas efectivas.
Daño potencial causado
Cuando una persona descarga un archivo de Internet sin verificar primero su autenticidad, puede descargar malware como CloudEyE. Por ejemplo, podrían descargar lo que parece un archivo PDF normal de un email de phishing que reciban. En realidad, este archivo podría ser una falsificación que en realidad incluye malware CloudEyE.
Una vez que descargaron GuLoader en su sistema, puede causar los siguientes problemas:
- Exfiltración de datos: CloudEyE puede descargar ladrones que registrarán datos personales o confidenciales de un dispositivo. Los piratas informáticos pueden vender estos datos exfiltrados o usarlos para obtener acceso a otros dispositivos.
- Creación de puntos de entrada: El malware CloudEyE puede crear oportunidades para que los piratas informáticos establezcan más puntos de entrada en su sistema. Puede abrir la puerta a otros programas y actividades maliciosas.
- Ruptura: Si bien no es el propósito principal de CloudEyE, los piratas informáticos también podrían usarlo para deshabilitar sistemas operativos, bloquear dispositivos o evitar que un dispositivo funcione correctamente. Esta forma de ataque puede reducir la eficiencia del negocio y frustrar a los empleados.
- Robo de recursos: Sin herramientas efectivas de monitoreo de ciberseguridad, es posible que las compañías no se den cuenta de los IOC de un ataque de malware CloudEyE. Esto podría significar que los piratas informáticos tienen acceso extendido a sus sistemas, que pueden aprovechar para drenar sus recursos o usarlos para otros fines ilícitos.
Debido a lo difícil que puede ser detectar CloudEyE, es muy probable que un sistema que no monitorear su presencia permanezca comprometido durante un periodo prolongado de tiempo. Esto podría significar que se experimentan todos los impactos anteriores, en lugar de solo uno, antes de que un equipo de ciberseguridad solucione el problema.
4 mejores prácticas para mitigar el malware CloudEyE
Estas son algunas de las mejores prácticas que pueden ayudar a proteger contra el malware CloudEyE y el daño que puede causar:
#1. Identificación del cargador de VBScript
La primera señal de que CloudEyE está presente en un sistema sería la activación del cargador VBScript, que comenzará el proceso de carga de una carga maliciosa en su sistema. Al identificar el cargador de VBScript y detenerlo en seco, puede evitar que GuLoader se ejecute en el sistema.
#2: Emplee verificadores de compromiso automatizados
Uno de los pasos más importantes cuando se trata de malware es cerciorar de detectarlo lo antes posible.
La detección temprana le dará a su equipo el tiempo que necesita para montar una respuesta efectiva. Al automatizar la extracción de cualquier indicador de compromiso, podrá identificar la presencia de CloudEyE lo más rápido posible.
#3: Ofrecer educación
La forma más fácil de evitar que el malware ingrese a sus sistemas es cerciorar de que los empleados no descarguen ningún archivo malicioso en primer lugar. Ofrecer educación sobre cómo inspeccionar archivos y la importancia de ejecutar el análisis de malware en todos los archivos antes de descargarlos ayudará a reducir el número de eventos que experimenta su compañía.
#4: Emplear la seguridad de terminales
Seguridad de Terminales agregará capas de seguridad a su sistema al examinar cualquier archivo con el que su compañía entre en contacto. Cuando hay indicios o rastros de software malicioso, las soluciones de seguridad de terminales bloquearán la descarga de estos archivos y evitarán su infiltración.
Evite el malware con Checkpoint
El malware CloudEyE (GuLoader) es una amenaza grave que puede comprometer los sistemas informáticos y seguir existiendo en un dispositivo infectado. Su capacidad para descargar otro malware en un dispositivo comprometido puede significar que una pequeña violación se convierta en un problema de ciberseguridad en toda la compañía.
Check Point Harmony es una solución de seguridad de terminales multicapa que puede identificar archivos maliciosos como CloudEyE y evitar que ingresen a su sistema.
Como solución dinámica, Harmony Endpoint puede automatizar la detección y prevención de amenazas en el entorno de su compañía. Obtenga más información sobre cómo Harmony Endpoint puede mantener la seguridad de su compañía reservando una demostración gratis.
Comentarios