El mes pasado se revelaba un malware denominado sLoad dentro de un informe de Microsoft. Y ya tenemos una versión renovada denominada Starslord o sLoad 2.0. Desde Microsofters os ayudamos a que estéis informados ante este nuevo tipo de malware y como opera.

Como funciona el malware sLoad 2.0

La realidad es que este malware sLoad no es algo nuevo. Es una variante de un malware que ha existido durante años. El malware es lo que alguien llamaría un «descargador de malware» o «cuentagotas de malware».

El propósito principal de sLoad es infectar equipos con Windows, recopilar información sobre el sistema que ha sido infectado, enviar esta información a un servidor de comando y control (C&C), y luego esperar a las instrucciones para descargar e instalar una segunda carga útil de malware.

El malware existe como enlace de un sistema diseñado para entregar otros malware más potentes. De hecho ofrecen la vulnerabilidad de tu equipo a otros ciberdelincuentes para instalar sus troyanos, como el troyano bancario Ramnit. sLoad ha destacado por su bajo nivel de sofisticación y por el uso de técnicas poco habituales.

La obsesión de sLOAD con BITS

Según un informe de Microsoft de diciembre de 2019, sLoad se había convertido en una de las pocas variantes de malware que portaron todos sus sistemas de comunicaciones host-servidor al servicio WINDOWS BITS.

Para aquellos que no están familiarizados con el término, Windows BITS es el sistema predeterminado a través del cual Microsoft envía actualizaciones de Windows a usuarios de todo el mundo. El servicio BITS funciona detectando cuando el usuario no está utilizando su conexión de red y utilizando este tiempo de inactividad para descargar las actualizaciones de Windows.

Pero el servicio BITS no está totalmente reservado para el proceso de Windows Update. Otras aplicaciones pueden aprovechar BITS y utilizarlo para programar tareas y operaciones de red que tendrán lugar cuando la conexión de red del equipo se inactiva.

El malware configuraría tareas programadas BITS que se ejecutarían a intervalos regulares. Estas tareas se utilizarían para hablar con su servidor C&C, descargar malware secundario, e incluso enviar datos desde un host infectado de vuelta al servidor C&C.

Cambiando el modus operandi

El informe de Microsoft del mes pasado expuso las capacidades de sLoad y aumentó la conciencia entre los proveedores de seguridad sobre el modus operandi del malware. Este tipo de informes son terribles para los creadores del malware al ser detectada su manera de actuar. Esto conlleva que cambien su manera de actuar esperando no ser detectados.

Los creadores de sLoad hicieron eso. En pocas semanas, renovaron su código y cambiaron las cosas, enviando un nuevo sLoad v2.0 con el nuevo año. Sin embargo, si creían estar un paso por delante de Microsoft se equivocaban. La compañía publicó otro informe detallando el nuevo v2.0 tanto o más que el v1.0.

Según Sujit Magar, un analista de malware parte del equipo de investigación de ATP de Microsoft Defender, sLoad 2.0 ha permanecido en gran medida igual, todavía utiliza BITS exclusivamente para todas las operaciones de red, todavía confía en los scripts de PowerShell para la ejecución sin archivos, y todavía trabajando como un descargador de malware para otros grupos criminales.

Las únicas cosas que cambiaron fue el uso de scripts WSF en lugar de scripts VB durante el proceso de infección, la adición de comprobaciones para detectar si los analistas de malware están mirando el código, y la implementación de un nuevo sistema que realiza un seguimiento de las etapas de una infección sLoad.

Parece que Microsoft está más atenta que nunca a los posibles problemas de seguridad de Windows. Veremos si los ciberdelincuentes se quedan sin ideas o son capaces de burlar la férrea seguridad que ha impuesto Microsoft en Windows.

Microsoft instalará automáticamente Bing como motor de búsqueda predeterminado en Chrome para los usuarios de Office 365 ProPlus. El objetivo es habilitar la nueva funcionalidad de Microsoft Search en Bing aunque podrá ser desinstalada. Eso si, algunos clientes ven esta estrategia, con razón, demasiado agresiva.

Microsoft Search se implementará en tu navegador

«A partir de la versión 2002 de Office 365 ProPlus, se instalará una extensión para Microsoft Search en Bing que convierte a Bing en el motor de búsqueda predeterminado para el explorador web de Google Chrome», explica un documento de soporte técnico de Microsoft. «Al convertir Bing en el motor de búsqueda predeterminado, los usuarios de tu organización con Google Chrome podrán aprovechar Microsoft Search, incluido el acceso a la información relevante del lugar de trabajo directamente desde la barra de direcciones del navegador. Microsoft Search forma parte de Microsoft 365 y está activado de forma predeterminada para todas las aplicaciones de Microsoft que lo admiten.»

Cabe destacar que este cambio llegará a las instalaciones nuevas y a las existentes, a partir de mediados de febrero, los usuarios pueden volver a elegir un motor de búsqueda a su elección, probablemente Google. Los cambios se realizarán para los usuarios de Australia, Canadá, Francia, Alemania, India, el Reino Unido y Estados Unidos. Estas regiones podrían expandirse en el futuro. Aquellos que ejecutan Firefox no se verán afectados, pero Microsoft se plantea lanzar una extensión similar para ese navegador en el futuro.

Como era de esperar muchos clientes se han quejado, o eso creemos. Al final, esto solo se produce en los usuarios con una suscripción Office 365 ProPlus. Este cambio no afecta a ninguna otra versión de Office 365. Realmente, esto es un problema para los administradores IT que se verán obligados a cambiar la configuración de los navegadores.

Más allá de la polémica cabe destacar que Microsoft Search en Bing es una maravilla de la ingeniería. Quizás, la manera de mostrarla a los clientes por parte de Microsoft ha sido la más brusca. Bien es sabido que los usuarios somos cabezotas y es complicado cambiar y quizás por eso han tomado esa determinación.

Solo esperamos que cuando llegue a los países de habla hispana se hayan preocupado en mejorar el buscador de Bing. Esto potenciaría que muchos usuarios pudieran darle una oportunidad. Pero, solo podemos hablar maravillas de Microsoft Search.