Malware as a Service (MaaS): ciberataque al alcance de cualquiera

El modelo de Malware as a Service (MaaS) se alza como uno de los desafíos más importantes para la ciberseguridad del presente y el futuro. 

Planteado como una evolución dentro de la actividad delictiva en línea y el cibercrimen, el MaaS facilita el acceso a malware altamente sofisticado a individuos o grupos con menos recursos o capacidad técnica.

Los desarrollos de malware convencionales implican altos costes e inversión de tiempo en el desarrollo de ataques. Por el contrario, el MaaS está facilitando la distribución de software complejo, ampliando la base de posibles atacantes y dificultando, a su vez, la detección de amenazas o el rastreo de los responsables.

El Malware as a Service ha transformado el panorama del cibercrimen, eliminado las barreras de entrada para los cibercriminales y posibilitando la innovación a un ritmo nunca antes visto. Todo ello en detrimento de la ciberseguridad a nivel global.

Esta amenaza creciente supone una llamada de atención a las organizaciones, que deben entender que la adopción de soluciones de seguridad avanzadas no puede retrasarse más. De este modo, una estrategia de seguridad robusta puede marcar la diferencia en la capacidad de hacer frente a un panorama de amenazas cada vez más complejo. 

Analizamos por ello qué es MaaS, sus implicaciones para las organizaciones, y acciones clave de defensa frente al Malware as a Service.

¿Qué es MaaS o malware como servicio?

El MaaS o Malware as a Service supone un modelo de cibercrimen avanzado en el que un grupo de ciberdelincuentes ofrece acceso a software malicioso avanzado a otros cibercriminales (a cambio de un pago), que después se ocupan de distribuirlo.

En cierto modo, el MaaS funciona de manera similar a los servicios de software como servicio (SaaS) legítimos y legales. Sin embargo, si bien el SaaS proporciona herramientas legales y útiles de software, el MaaS ofrece malware, es decir, software diseñado para realizar actividades maliciosas en sistemas informáticos. Así, existen varias categorías de malware a las que el MaaS puede dar acceso, como troyanos, ransomware, botnets, o keyloggers, entre otros.

Entrevista con Ana Nieto, coordinadora del grupo de análisis de Malware de S2 Grupo

En los modelos MaaS se distinguen dos tipos de colaboradores, haciendo la misma diferenciación que se ha visto en el Ransomware as a Service (RaaS):

• Operadores: se ocupan de generar el malware y dar acceso al mismo. Dentro de los operadores pueden existir multitud de especializaciones: desde personas dedicadas solo al desarrollo del software malicioso, a administradores, gestores y personal dedicado al soporte técnico.
• Afiliados: cibercriminales que pagan por obtener acceso al malware para distribuirlo. No necesitan contar con habilidades técnicas avanzadas para desarrollar el malware ellos mismos, y pueden especializarse en ejecutar los ataques.

Diferencia malware y malware as a service 

La diferencia fundamental entre "malware" y "malware as a service" (MaaS) radica en cómo se distribuye y se utiliza el software malicioso.

Por un lado, el término malware se refiere al software malicioso en sí, que ha sido diseñado para infiltrarse o dañar un sistema informático y que, habitualmente, no cuenta con el consentimiento del usuario. Pueden ser virus, gusanos, troyanos, ransomware, spyware…

Por su parte, el Malware as a Service o MaaS se refiere a un modelo de distribución específico. En este caso, y como acabamos de ver, los ciberdelincuentes operadores ofrecen acceso a malware a los afiliados, que pueden así lanzar ataques cibernéticos sin necesidad de desarrollar el software ellos mismos. 

 ¿Por qué es peligroso para las organizaciones?

El impacto de un ataque malware para las organizaciones es potencialmente devastador: brechas de datos sensibles, disrupción de operaciones y las pérdidas de reputación son solo algunos de los costes más destacados. 

A esto se unen las posibles multas previstas por diversos cuerpos legislativos para las organizaciones que no hubiesen puesto las medidas de ciberseguridad adecuadas para proteger la privacidad de los datos. 

En el caso específico del MaaS, se trata de un peligro acentuado que ha revolucionado por completo el panorama del cibercrimen, con al menos tres consecuencias graves: 

• Facilita que un mayor número de cibercriminales realicen actividades delictivas en línea altamente sofisticadas que, mediante un modelo convencional, estarían más allá de sus capacidades técnicas. 
• Reduce los costes de acceso a software dañino. Por ejemplo, en el caso del Ransomware as Service, esta reducción de costes ha provocado que se doble el número de ataques cada año desde 2019.
• Dificulta la identificación y el rastreo de los responsables debido, entre otros motivos, a la separación de funciones y a la coordinación y la adaptación de los grupos a protocolos y formas de operar de grupos más expertos.

¿Cómo funciona? 

1. Desarrollo del malware

El MaaS comienza cuando los ciberdelincuentes crean el malware. Éste puede ser cualquier tipo de software malicioso (troyanos, ransomware, botnets…). Lo que tienen en común es haber sido diseñados para llevar a cabo acciones dañinas en los sistemas informáticos de las víctimas: robar datos, bloquear archivos o controlar dispositivos.

Un estudio de Kaspersky ha desvelado que el 58% de las ventas de MaaS consisten en software de ransomware. Le siguen en la lista los software tipo infostealers (con un 24%), es decir, software diseñado para robar datos.

Algunos de los software lanzados como Malware as a Service más conocidos incluyen QakBot, SocGholish o Raspberry Robin.

2. Creación de la plataforma de venta

En el siguiente paso, entran en juego los vendedores de malware, que pueden ser distintos de los desarrolladores, o estar relacionados. En este caso, se trata de generar una plataforma que permita diseminar y vender el software creado en la dark web.

 3. Oferta del servicio

Se abre la fase en la que los ciberdelincuentes promocionan su servicio de MaaS. Para ello, emplean una amplia variedad de opciones: desde foros clandestinos, hasta mercados de la dark web o incluso ciertas páginas en la web superficial. 

Como si de un producto de software al uso se tratara, publicitan las características del malware: funcionalidad, eficacia, precio, servicios de soporte…

 4. Registro y adquisición del servicio

Los usuarios interesados se registran en la plataforma y, tras cumplir los requisitos exigidos y realizar el pago, adquieren acceso al software malicioso. 

5. Distribución del malware

Llega el momento de utilizar el malware para llevar a cabo los objetivos maliciosos. El ataque malware puede tener una víctima específica, o formar parte de campañas de phishing, entre otras alternativas.

Durante esta fase, algunos operadores ofrecen soporte técnico a los usuarios, como la asistencia para la instalación y configuración o las actualizaciones regulares para garantizar la efectividad del malware y evadir la detección.

Modelo de venta del MaaS

Como acabamos de ver, el modelo de venta del MaaS cuenta con elementos que recuerdan a la venta de Software as Service legítimo. 

Distribuido a través de plataformas de venta (en este caso, en la dark web o difícilmente rastreables) los operadores se ocupan de promocionar su servicio entre ciberdelincuentes mediante técnicas de marketing, como el uso de testimonios de clientes satisfechos y ofertas especiales.

En lo que se refiere al proceso de venta en sí, generalmente la adquisición requiere de un registro de los usuarios en la plataforma de venta. Allí, pueden seleccionar el tipo de malware que desean adquirir o la duración del acceso, entre otras opciones.

Se ofrecen métodos de pago anónimos (por ejemplo, criptomonedas) para diversos modelos de compra: 

• Pago único para la compra del malware 
• Modelo de suscripción para acceso al malware durante un periodo específico
• Pago según porcentaje de los beneficios que obtengan los afiliados, modelo típico del Ransomware as Service

Una vez completado el proceso de pago, los usuarios tienen acceso al software pero, en muchas ocasiones, también a soporte técnico, que puede incluir asistencia para la instalación, configuración y resolución de problemas relacionados con el malware.

¿Cómo prevenir el Malware as a Service?

Tecnología avanzada de ciberseguridad

Ante la amenaza en constante transformación del MaaS y otros riesgos altamente sofisticados, las organizaciones deben blindar sus defensas mediante las soluciones de ciberseguridad más avanzadas. 

Por fortuna, a medida que se desarrollan tecnologías cada vez más dañinas, también avanzan las capacidades de los expertos en ciberseguridad para crear herramientas de defensa eficaces. 

Basados en conocimientos exhaustivos sobre el modo de actuar de los cibercriminales y sus herramientas, se trata de tecnologías de vanguardia entre las que, a día de hoy, destacan:

• MicroCLAUDIA, la primera “herramienta de vacunación” de ciberseguridad desarrollada por el Centro Criptológico Nacional (CCN-CERT) y la empresa de ciberseguridad S2 Grupo. Centrada de impedir que ransomware y otras formas de malware previas se ejecuten en un equipo, representa un software pionero basado en el conocimiento exhaustivo sobre diferentes tipos de malware y sus estrategias de expansión, empleado para poder detenerlos a tiempo.

• Soluciones integrales como CLAUDIA, que ponen a disposición de las organizaciones la capacidad de detectar anomalías a tiempo, actuando como vigías para evitar de forma proactiva la posibilidad de un ataque malware. Esta herramienta se coordina además con los programas de Threat Intelligence más sofisticados, capaces de un análisis avanzado de amenazas para su detección en estados tempranos.

Además, S2 Grupo cuenta con expertos especializados en el análisis de malware, que se sirven del modelado de amenazas para priorizar los análisis y las reglas de detección en base a las amenazas dirigidas contra las organizaciones. Este es un punto diferenciador que permite mantener actualizadas las herramientas anteriores con reglas de detección que frenan amenazas de grupos APT que posteriormente podrían materializarse como malware empleado por grupos MaaS. Pero, además, ofrece los siguientes servicios:

• Monitorización activa de grupos y análisis bajo demanda de malware que preocupe a la organización, de cara a crear reglas de detección específicas. 

• Intervención en incidentes que requieran el análisis de malware, ya sea para extraer indicadores de compromiso que ayuden a frenar la propagación, o, en caso de detección temprana del incidente, para justificar por informe qué características tenía el malware y qué podría haber pasado de materializarse la amenaza. Esto también puede contribuir, por ejemplo, a extraer indicadores de compromiso que ayuden a frenar nuevos intentos del mismo actor contra la organización, de cara a que si cambia el vector inicial de entrada para sortear las medidas puedan frenarse las siguientes fases.

La combinación de herramientas y analistas dedicados es crucial para hacer frente a las nuevas amenazas derivadas del modelo MaaS. 

Formación de personal y cultura de ciberseguridad

La cultura de ciberseguridad se refiere a la conciencia y comprensión generalizada en una organización de la importancia de la seguridad cibernética, así como el compromiso activo del personal para mitigar los riesgos.

Se sabe que una inmensa mayoría de los ataques malware tienen como puerta de entrada un error humano. Así, la formación de personal respecto a cómo actuar frente a un ataque y las principales formas de prevenirlos se alzan como una de las acciones indispensables en el blindaje de una organización.

Adopción de políticas de ciberseguridad eficaces

Cualquier organización que aspire a proteger sus sistemas, redes y datos en el panorama actual debe contar con una estrategia robusta de ciberseguridad, en la que deben constar ciertas políticas y planes, incluyendo:

• Mantenimiento y actualización de software con los últimos parches y actualizaciones de seguridad, en vistas a protegerse frente a vulnerabilidades conocidas.
• Programas de filtrado de correo electrónico y web para bloquear enlaces maliciosos o la descarga de archivos infectados.
• Restricción de controles en el acceso a la red, sitios web y servicios en línea conocidos por alojar malware o ser utilizados para distribuir MaaS.
• Contar con un plan de respuesta a incidentes que pueda ponerse en marcha para mitigar los efectos de un ataque malware en caso de que tenga lugar. El plan debe incorporar el conjunto de procedimientos y acciones predefinidas que una organización seguirá para detectar y erradicar cualquier incidente lo antes posible, minimizando su daño.
• Puesta en marcha de estrategias colaborativas. Se recomienda participar en comunidades de ciberseguridad, donde se comparta información sobre amenazas actuales vinculadas al modelo MaaS y otros tipos de ataque. Se trata así de comprender la ciberseguridad como un reto que requiere de una acción colectiva, en la que las organizaciones pueden ayudarse entre sí para fortalecer sus defensas.

El papel de los expertos en ciberseguridad

La adopción de medidas verdaderamente eficaces implica la colaboración con equipos expertos en ciberseguridad, capaces de elaborar una estrategia a medida de una organización.

El papel de los expertos a menudo comienza con el desarrollo de una auditoría de seguridad avanzada. Esta herramienta permite poner en evidencia las posibles vulnerabilidades y carencias de una organización en materia de ciberseguridad para después enmendar los posibles errores, reforzando la defensa desde un punto de vista proactivo. 

Para ello, se hace uso de herramientas avanzadas como los test de visibilidad o de penetración, junto con el trabajo de equipos especialistas como el red team y el blue team, que simulan un posible ataque real.

Contar con ayuda profesional en ciberseguridad es hoy más accesible que nunca, gracias a iniciativas como el plan ACTIVA Ciberseguridad. Orientado a pymes y autónomos, supone un impulso para que puedan contactar con expertos en ciberseguridad que les ayuden a desarrollar un plan personalizado que proteja sus activos. 

Desde S2 Grupo ayudamos a las organizaciones en la defensa ante un panorama de amenazas cambiante y complejo. Para ello, formamos parte de las empresas aliadas en el plan ACTIVA Ciberseguridad, además de poner en marcha iniciativas como nuestras auditorías de ciberseguridad, o ayudar a las empresas en el desarrollo de una verdadera cultura de la ciberseguridad.

¿Quieres saber más sobre cómo podemos ayudarte a protegerte ante amenazas sofisticadas como el MaaS? Ponte en contacto con nosotros para hablar con nuestro equipo.