La innovación se ha convertido es un problema para los usuarios y desarrolladores de herramientas de seguridad. Los cibercriminales cada vez demuestran más imaginación a la hora de dotar a las amenazas de funciones. Muchas veces, lo que nos encontramos es una mezcla de funciones procedentes de varias amenazas, algo que ya hemos podido comprobar con los últimos ransomware que han aparecido. Este artículo nos ocupamos de Adwind, un troyano que permite el acceso remoto.

Dado que todos los sistemas operativos han comenzado a utilizarse de una forma mucho más amplia, no existiendo un dominio tan claro por parte de Microsoft y las versiones de Windows, los ciberdelincuentes han optado por la generalización. Es decir, el desarrollo de las aplicaciones para la mayor cantidad de sistemas operativos. Esto les permite abarcar una mayor cuota de mercado, pero implica un mayor desarrollo del malware.

El problema al que deben hacer frente los usuarios es que la mayor amplitud no mengua la repercusión y tampoco los daños provocados. Los RAT destacan sobre todo por pasar desapercibidos de cara a las herramientas de seguridad. Muchos software se ven desbordados por los ataques de estas amenazas, no mostrando ningún tipo de alerta, y por lo tanto, no detectando la presencia de la amenaza en el equipo.

Ya hemos indicado que, durante varios años, todos los esfuerzos se centraron en afectar a usuarios con sistema operativo Windows. Sin embargo, esto está mucho más repartido, centrando sus esfuerzos en la actualidad en los sistemas operativos de los de Redmond, macOS y Android, siendo este último en peor parado en el último año.

Adwind y lo muchos nombres que presenta

No es una amenaza reciente, o al menos estrenada en las últimas semanas. Los ciberdelincuentes están recuperando amenazas que tuvieron su protagonismo en el pasado, sacándolas del baúl de los recuerdos e introduciendo mejoras y la posibilidad de esquivar la inmensa mayoría de herramientas de seguridad.

El troyano que nos ocupa y que posibilita el acceso remoto posee un largo listado de nombres: AlienSpy Frutas, jFrutas, Unrecom, Sockrat, JSocket y jRat son tal vez los más conocidos entre los usuarios y expertos en seguridad.

En lo que llevamos de año, ha alcanzado un pico de infecciones por primera vez el mes de febrero, describiendo posteriormente un valle. En los dos últimos meses ha vuelto al alza en lo que se refiere al número de infecciones.

Distribución y particularidades

Los expertos en seguridad han determinado que la vía de difusión de Adwind es el correo electrónico. Aunque se trata de una amenaza con un origen bastante antiguo, las herramientas de seguridad no son capaces de detectar la amenaza, a no ser que estén actualizadas a la última versión del archivo de definición de virus.

Aunque no es del todo seguro, expertos indican que han detectado variantes que son capaces de ofuscar su código en el dispositivo, evitando que los antivirus detecten la amenaza. Otros indican que introduce parte de su código en procesos legítimos, asegurándose persistencia e inmunidad frente a las herramientas de seguridad.

Con respecto a la finalidad, no es necesario indicar que los ciberdelincuentes persiguen sobre todo el acceso remoto a los dispositivo y el acceso a la información almacenada en los mismos.