Ir al contenido principal

Identificando malware en procesos svchost.exe maliciosos

Si examinas los procesos que están corriendo en tu Windows con el administrador de tareas verás que hay varios procesos llamados svchost.exe. La función de estos es alojar a otros procesos que realizan diferentes funciones, es decir, actúan como contenedores de otros servicios. Además de esto, también es uno de los lugares favoritos que tiene el malware para alojarse sin tu permiso.
Hay dos formas en las que un malware puede usar estos procesos para esconderse. La primera forma es agregándose a un svchost.exe que ya esté ejecutándose. La otra manera es creando un proceso svchost.exe falso que en realidad está ejecutando el malware. Vamos ver cómo podemos identificar estos svchost.exe falsos (y dejamos para otro día el primer caso en el que los programas maliciosos que se alojan en svchost.exe auténticos).


Para verlo todo con un ejemplo, he infectado una máquina virtual con un malware que crea un proceso svchost.exe falso. Para examinar los procesos usaré el programa Process Explorer de la suite Sysinternals. En la siguiente captura podemos ver el proceso sospechoso rodeado de rojo.


Este proceso, de entrada, llama la atención porque es un proceso huérfano, es decir, que no tiene padre, como el resto de procesos svchost.exe que penden del proceso services.exe.
Para asegurarnos, vamos a comparar la imagen del proceso en disco con la imagen del proceso en memoria. En concreto vamos a verificar si contienen las mismas cadenas (strings) o son diferentes. Para ello pulsamos el botón derecho sobre el proceso y seleccionamos la opción Propiedades.
A continuación seleccionamos la pestaña Strings y comprobamos que en la parte inferior de la ventana podemos seleccionar Image para ver las cadenas del ejecutable en el disco o Memory para ver las cadenas del proceso en memoria.


Aunque puede haber diferencias entre la imagen en disco y en memoria, en este caso vemos que son muy diferentes. Además, las cadenas de texto que se observan son muy características de los keylogers. Sólo hay que fijarse en las cadenas que hacen referencias a teclas específicas como [SHIFT], [ENTER], etc. Además, encontramos una cadena muy sospechosa: malware.log (obviamente he cambiado el nombre del fichero por claridad. Normalmente no será tan obvio). ¿Será ese el nombre del fichero donde se guardan las pulsaciones del teclado? Para comprobarlo vamos a arrancar el programa Process Monitor (también de la suite Sysinternals) y establecemos un par de filtros pulsando sobre el icono con forma de embudo.


Process Monitor es una utilidad muy interesante, ya que genera un registro (log) de todas las operaciones que realizan los procesos en el sistema. Como imaginarás son muchos, así que vamos a filtrar por el PID del proceso y por la operación. Añadimos un filtro para el PID que es, según hemos visto en Process Explorer, el 2056. Tras poner los datos del filtro, tal y como aparecen en la siguiente imagen, pulsamos el botón Add.


El siguiente paso es filtrar por el tipo de operación. En este caso nos interesa la operación WriteFile, para comprobar si el proceso está escribiendo algo a disco (en este caso, las teclas que son pulsadas por el usuario).


Una vez añadidos los dos filtros pulsamos el botón OK, pulsamos algunas teclas en un par de programas como IExplorer o Notepad, y comprobamos el resultado.


Efectivamente, parece que este proceso está escribiendo en el archivo malware.log y además podemos ver la ruta donde se encuentra dicho archivo (un malware real usaría una ruta menos común, pero en cualquier caso la veríamos aquí). Sólo nos resta comprobar el contenido del archivo.


Como podemos ver, se han guardado las pulsaciones de tecla que habíamos hecho, almacenando también en qué programa se han realizados dichas pulsaciones. Esto confirma que tenemos un bonito keyloger corriendo en la máquina.

Como dije al principio, otros "bichos" pueden esconderse adhiriéndose a los procesos svchost.exe existentes, por lo que serían menos visibles, ya que se confunden con otros procesos legítimos del sistema. En esos casos habrá que hilar más fino y buscar qué DLLs se han cargado y cuáles podrían ser sospechosas. El proceso no es mucho más complejo que el que acabamos de ver, pero si algo más entretenido, así que otro día seguiremos hablando de ello.


Comentarios

Publicar un comentario

Entradas populares de este blog

Criptografía en Python con PyCrypto

A la hora de cifrar información con Python, tenemos algunas opciones, pero una de las más fiables es la librería criptográfica PyCrypto, que soporta funciones para cifrado por bloques, cifrado por flujo y cálculo de hash. Además incorpora sus propios generadores de números aleatorios. Seguidamente os presento algunas de sus características y también como se usa.


Regresión lineal y descenso de gradiente con Python

En machine learning, el objetivo principal es encontrar un modelo que explique el comportamiento de un sistema (en el amplio sentido de la palabra). A partir de unos datos de entrenamiento, un sistema de aprendizaje automático ha de ser capaz de inferir un modelo capaz de explicar, al menos en su mayoría, los efectos observados. Pero también aplicar ese aprendizaje. Por ejemplo, un sistema de machine learning muy lucrativo para las empresas anunciantes es aquél que dado un perfil de usuario (datos de entrada A), sea capaz de predecir si pinchará o no (salida B) sobre un anuncio publicitario de, por ejemplo, comida para gatos. No es sencillo crear un modelo capaz de predecir el comportamiento del usuario (o sí), pero en todo caso, existen diferentes técnicas que nos permiten abordar el problema. En el caso del ejemplo que acabamos de ver, el modelo debería ser capaz de clasificar a los usuarios en dos clases diferentes, los que pulsarán y los que no pulsarán el anuncio de comida de ga…

Desbordamiento de enteros (Integer Overflow)

Ya os he hablado en este blog de posibles problemas potenciales que se pueden dar en los programas y que son susceptibles de ser explotados para hacer que dichos programas se comporten de forma diferente a la que deberían. Uno de estos problemas es el del desbordamiento de la pila. Sin embargo, hay otros posibles errores de programación que, aunque menos obvios, son igual de peligrosos. Uno de ellos es el desbordamiento de enteros o integer overflow. Para entender cómo funciona os presento un ejemplo muy sencillo pero didáctico.