Sistemas de seguridad quedan ciegos: casi la mitad de los virus recurren a direcciones IP directas para evadir la detección

Muchos sistemas de protección supervisan las consultas de dominio, pero el software malicioso evade cada vez más ese control y se comunica con los servidores directamente por direcciones IP. El análisis de Unit 42 mostró que este método fue utilizado por el 45% de las muestras de malware que se comunicaron con servidores de mando.

Los especialistas examinaron más de 4 millones de informes de análisis dinámico en 30 días. Se detectó actividad de servidores de mando en aproximadamente el 20% de las muestras maliciosas. Casi la mitad de ellas se conectó al menos una vez a una dirección IP sin una consulta DNS previa. Tales conexiones representaron alrededor del 23% de todos los intentos de comunicación.

En una conexión habitual el programa primero consulta DNS para obtener la dirección IP del dominio deseado. Los servicios de protección pueden revisar la consulta y bloquear un recurso malicioso conocido. Sin embargo, algunos programas almacenan la dirección del servidor directamente en el código, por lo que los filtros DNS no ven ni el dominio ni el contexto de la conexión.

Así operaba también el cargador Phorpiex, que se dirigía directamente al servidor para obtener configuraciones y componentes adicionales, incluido un programa de rescate. Un mecanismo similar lo usaban los dispositivos infectados del botnet Mozi. Descargaban archivos maliciosos mediante direcciones IP y se propagaban sin consultas de dominio.

Los dominios suelen ser más prácticos que las direcciones IP directas, ya que permiten cambiar servidores con rapidez sin actualizar la configuración del malware. Los atacantes pueden mover la infraestructura entre proveedores de alojamiento, distribuir el tráfico y sustituir nodos bloqueados conservando la dirección de conexión anterior. Los nombres de dominio también son más fáciles de disfrazar como recursos legítimos. Sin embargo, al bloquear un nombre de dominio los atacantes pierden todo un conjunto de dispositivos ya infectados.

Unit 42 también identificó una campaña de robo de datos mediante solicitudes GET no estándar. El malware enviaba información codificada a servidores en la nube en Brasil, cambiando regularmente direcciones y puertos. La actividad afectó a organismos estatales, aerolíneas y universidades.

Otros dos grupos emplearon SectopRAT contra centros educativos. El malware transmitía a los servidores las páginas visitadas, redirecciones de inicio de sesión único, inicios de sesión y contraseñas de formularios web. Todo el intercambio se realizaba directamente por direcciones IP y no era visible para la protección DNS.

Para detectar esas conexiones Unit 42 evaluó el enfoque ZT-IP. El cortafuegos permite una conexión saliente solo si un servicio DNS de confianza confirmó recientemente la dirección de destino. Los accesos directos a direcciones IP desconocidas son marcados como sospechosos y bloqueados, manteniendo excepciones para protocolos de confianza y redes internas.

Se recomienda a las organizaciones supervisar no solo las consultas DNS, sino también las conexiones salientes directas, limitar los accesos a direcciones IP no verificadas y tener en cuenta los servicios legítimos que requieren este tipo de comunicación por protocolo. Esta verificación resulta especialmente útil en redes con dispositivos IoT y equipamiento industrial, donde no es posible instalar un agente de protección.

Una protección basada en un único escenario habitual inevitablemente deja zonas ciegas. Una red fiable debe evaluar la confianza de cada conexión saliente, en lugar de considerar el tráfico seguro solo porque no haya violado el esquema esperado.