El malware es la principal herramienta de los cibercriminales y de los principales ciberataques en organizaciones empresariales. En estos tiempos la detección y eliminación de malware no es suficiente, es de vital importancia entender: cómo funcionan, lo que harían en los sistemas cuando se despliega, comprender el contexto, las motivaciones y los objetivos del ataque. De esta manera entender los hechos y responder con mayor eficacia para protegerse en el futuro.

Cuando se instala software de seguridad es bastante común que los usuarios realicen algunas pruebas para asegurarse  de que no afecta al rendimiento de las aplicaciones o de ningún sistema. Cuando se trata de sistemas de detección de malware hay que buscar el equilibrio entre un buen rendimiento y capacidad de detección, que suele venir condicionada por la frecuencia de actualización de la base de firmas. Pero existen técnicas conocidas de ocultamiento de malware que los sistemas de detección debería conocer y podemos llegar a probar gracia a la PoC (prueba de concepto) de malware, Al-Khaser.

Al-khaser es una PoC de malware que permite realizar stress test de sistemas de detección de malware. Esta herramienta realiza un montón de técnicas utilizadas por malware de hoy en día para evitar los sistemas de detección y sistemas Sandbox con el objetivo de probar dichas soluciones.

Algunos de los usos comunes de Al-khaser son:

• Comprobar la efectividad de plugins anti-depuración.
• Comprobar de que la solución de sandbox esté lo suficientemente oculta y no es detectada por el malware.
• Comprobar si un entorno de análisis de malware es in-detectable por el mismo.

La compilación de ataques para stress test de sistemas de detección son:

• Módulos de ataques anti-depuración.
• Módulos Anti-Dumping.
• Ataques de temporización (Anti-Sandbox).
• Interacción humana (Anti-Sandbox).
• Anti-Virtualización.
• Antianalisis.
• Técnicas de inyección de código/DLL.

En la herramienta se pueden encontrar scripts, por ejemplo, los ataques de temporización que se utilizan para evitar sistemas de Sandbox. Este tipo de pruebas son utilizadas por los malwares modernos para entrar en el sistema e infectar a los hosts. Cualquier vulnerabilidad puede permitir que un usuario malintencionado explote el error y obtenga acceso no autorizado y controle los recursos informáticos.

Más información y descarga de Al-khaser:
https://github.com/LordNoteworthy/al-khaser