Conclusiones clave
- Una herramienta maliciosa envió malware con el pretexto de simplificar la instalación de aplicaciones de Android en Windows.
- La herramienta funcionó como se anuncia, por lo que no generó ninguna señal de alerta.
-
Los expertos sugieren que las personas manejen cualquier software descargado de sitios de terceros con sumo cuidado.
El hecho de que el código del software de código abierto esté disponible para que cualquiera lo vea, no significa que todos lo vean.
Aprovechándose de esto, los piratas informáticos cooptaron un script ToolBox de Windows 11 de terceros para distribuir malware. En la superficie, la aplicación funciona como se anuncia y ayuda a agregar Google Play Store a Windows 11. Sin embargo, detrás de escena, también infectó las computadoras en las que se ejecutaba con todo tipo de malware.
"Si hay algún tipo de consejo que se pueda tomar de esto, es que obtener código para ejecutarlo fuera de Internet exige un escrutinio adicional", dijo John Hammond, investigador sénior de seguridad en Huntress, a Lifewire por correo electrónico.
Robo a la luz del día
Una de las características más esperadas de Windows 11 fue su capacidad para ejecutar aplicaciones de Android directamente desde Windows. Sin embargo, cuando finalmente se lanzó la función, las personas se limitaron a instalar un puñado de aplicaciones seleccionadas de Amazon App Store y no de Google Play Store como esperaban.
Hubo un respiro desde que el subsistema de Windows para Android permitía a las personas descargar aplicaciones con la ayuda de Android Debug Bridge (adb), lo que básicamente permitía la instalación de cualquier aplicación de Android en Windows 11.
Las aplicaciones pronto comenzaron a aparecer en GitHub, como el subsistema de Windows para la caja de herramientas de Android, que simplificó la instalación de cualquier aplicación de Android en Windows 11. Una de esas aplicaciones llamada Powershell Windows Toolbox también ofreció la capacidad junto con varias otras opciones., por ejemplo, para eliminar la hinchazón de una instalación de Windows 11, modificarla para mejorar el rendimiento y más.
Sin embargo, aunque la aplicación funcionaba como se anunciaba, el script ejecutaba en secreto una serie de scripts de PowerShell ofuscados y maliciosos para instalar un troyano y otro malware.
Si hay algún tipo de consejo que se pueda tomar de esto, es que obtener código para ejecutarlo fuera de Internet exige un escrutinio adicional.
El código del script era de código abierto, pero antes de que alguien se molestara en mirar su código para detectar el código ofuscado que descargó el malware, el script había registrado cientos de descargas. Pero dado que el guión funcionó como se anuncia, nadie notó que algo andaba mal.
Usando el ejemplo de la campaña SolarWinds de 2020 que infectó a varias agencias gubernamentales, Garret Grajek, director ejecutivo de YouAttest, opinó que los piratas informáticos han descubierto que la mejor manera de introducir malware en nuestras computadoras es hacer que lo instalemos nosotros mismos.
"Ya sea a través de productos comprados como SolarWinds o de código abierto, si los piratas informáticos pueden introducir su código en un software 'legítimo', pueden ahorrarse el esfuerzo y el gasto de explotar los ataques de día cero y buscar vulnerabilidades", Grajek le dijo a Lifewire por correo electrónico.
Nasser Fattah, presidente del Comité Directivo de América del Norte en Shared Assessments, agregó que en el caso de Powershell Windows Toolbox, el malware troyano cumplió su promesa pero tenía un costo oculto.
"Un buen malware troyano es aquel que proporciona todas las capacidades y funciones que anuncia… y más (malware)", dijo Fattah a Lifewire por correo electrónico.
Fattah también señaló que el uso de un script de Powershell en el proyecto fue la primera señal que lo asustó."Debemos ser muy cautelosos al ejecutar scripts de Powershell desde Internet. Los piratas informáticos han aprovechado y seguirán aprovechando Powershell para distribuir malware", advirtió Fattah.
Hammond está de acuerdo. Examinando detenidamente la documentación del proyecto que GitHub ahora ha desconectado, la sugerencia de iniciar una interfaz de comando con privilegios administrativos y ejecutar una línea de código que obtiene y ejecuta código de Internet, es lo que hizo sonar las campanas de advertencia para él..
Responsabilidad compartida
David Cundiff, director de seguridad de la información de Cyvatar, cree que hay varias lecciones que las personas pueden aprender de este software de aspecto normal con interior malicioso.
"La seguridad es una responsabilidad compartida como se describe en el enfoque de seguridad de GitHub", señaló Cundiff. "Esto significa que ninguna entidad debe confiar completamente en un solo punto de falla en la cadena".
Además, aconsejó que cualquiera que descargue código de GitHub debe estar atento a las señales de advertencia, y agregó que la situación se repetirá si las personas operan bajo la suposición de que todo estará en orden ya que el software está alojado en una plataforma confiable y de buena reputación.
"Si bien Github es una plataforma acreditada para compartir código, los usuarios pueden compartir cualquier herramienta de seguridad para bien o para mal", coincidió Hammond.
