Qué es un virus metamórfico
Un virus metamórfico es un programa que se replica solo y que no se limita a ocultar su código, sino que lo cambia. Cada copia nueva la produce un motor integrado que reescribe las instrucciones, así que las copias se comportan igual pero casi no comparten patrones de bytes. Ahí está la clave: el antivirus clásico reconoce el malware por su apariencia, y un virus metamórfico nunca se ve igual dos veces.
Lo que hace una vez que se ejecuta es otra cuestión. El motor de mutación es solo el disfraz, y la carga puede ser cualquier cosa, desde infectar archivos hasta un keylogger o un canal silencioso de exfiltración de datos. Conviene verlo así: el motor decide si usted puede reconocer el programa, y la carga decide cuánto le va a costar.
Cómo se reescribe a sí mismo
La mutación ocurre en un ciclo que el virus lleva dentro, sin ayuda externa.
- 1
Lectura de su propio código
El motor desensambla el cuerpo del virus en una lista de instrucciones que puede entender y editar.
- 2
Transformación
Aplica reglas de reescritura, como cambiar una instrucción por una equivalente, reordenar bloques independientes o insertar relleno inofensivo.
- 3
Reconstrucción
Vuelve a ensamblar las instrucciones modificadas en un cuerpo nuevo y funcional, con direcciones y saltos distintos.
- 4
Infección y repetición
La copia nueva se adjunta a un objetivo y, al ejecutarse, inicia el mismo ciclo otra vez.
Metamórfico frente a polimórfico
Es común confundirlos. Un virus polimórfico conserva el mismo código central y solo cambia su envoltorio, normalmente una capa de cifrado con una clave distinta cada vez. Al quitar el envoltorio aparece el mismo cuerpo, y los analistas tienen algo estable con qué comparar. Un virus metamórfico no tiene un cuerpo estable que encontrar.
| Aspecto | Virus polimórfico | Virus metamórfico |
|---|---|---|
| Qué cambia | La capa de cifrado y su descifrador | El código del programa en sí |
| Cuerpo tras desempaquetar | Idéntico en todas las copias | Distinto en cada copia |
| Qué incluye | Un motor de mutación para el envoltorio | Un motor que desensambla y reconstruye el código |
| Esfuerzo para escribirlo | Moderado | Bastante mayor |
| Punto débil | El cuerpo descifrado se puede comparar | Su comportamiento y los patrones del propio motor |
Técnicas habituales de mutación
Los motores metamórficos combinan un conjunto pequeño de transformaciones. Ninguna es avanzada por sí sola, y el efecto surge al apilarlas a lo largo de las generaciones.
- Sustitución de instrucciones: reemplazar una instrucción por otra que da el mismo resultado.
- Reordenamiento del código: mezclar bloques que no dependen entre sí y corregir los saltos entre ellos.
- Cambio de registros: usar registros distintos del procesador para las mismas operaciones.
- Inserción de código basura: añadir instrucciones que no hacen nada, como operaciones vacías o que se anulan entre sí.
- Expansión y reducción: reemplazar una secuencia corta por una equivalente más larga, o al revés.
Por qué fallan las firmas
El análisis por firmas compara un archivo con patrones de bytes tomados de muestras conocidas. El metamorfismo ataca esa premisa de frente, porque una variante nueva no tiene ningún patrón que se haya registrado antes. La detección pasa así de cómo se ve el archivo a lo que hace.
Una capa relacionada es el monitoreo de integridad de archivos. No reconoce el virus en absoluto: nota que un archivo protegido cambió sin que nadie autorizara el cambio, y eso funciona sin importar cómo se vea el código.
| Enfoque de detección | Requiere un patrón de bytes conocido | Ve el comportamiento en ejecución |
|---|---|---|
| Comparación de firmas | ||
| Heurística estática | ||
| Monitoreo de comportamiento | ||
| Sandbox o emulación |
Defensa en capas
Como ninguna comprobación reconoce todas las variantes, la defensa se arma con capas que fallan de maneras distintas. La protección de endpoints basada en comportamiento, las listas de aplicaciones permitidas y las actualizaciones al día reducen la probabilidad de infección. Aun así, la mayoría de las infecciones empieza con una persona, mediante un mensaje como el clone phishing o un archivo de medios extraíbles, por lo que el filtrado de correo y las reglas de dispositivos importan tanto como el antivirus.
Suponga que alguna variante terminará ejecutándose. La segmentación de la red, las cuentas con privilegios mínimos y las copias de seguridad probadas limitan lo que puede tocar y el tiempo de limpieza.
Un análisis limpio no prueba que el equipo esté limpio: ante una muestra metamórfica, un antivirus por firmas solo puede informar que no encontró nada que conociera.
Por dónde empezar
Empiece preguntándose a qué podría llegar una infección exitosa, y no cómo atrapar todas las variantes. Haga el inventario de los endpoints que guardan datos sensibles, active allí la detección basada en comportamiento y asegúrese de que los cambios inusuales en archivos y las transferencias salientes no pasen inadvertidos.
La última línea de defensa son los propios datos. Un control de DLP de endpoint, como Anexet DLP, vigila los canales por los que salen los datos, de modo que una fuga puede detenerse aunque el programa que la inició nunca se haya reconocido.
No siempre se puede reconocer al intruso, pero siempre se puede vigilar lo que sale por la puerta.
Anexet Team