caballo de Troya (informática)

En informática , un troyano o caballo de Troya es un tipo de malware que engaña a los usuarios sobre su verdadera intención disfrazándose de programa normal. Los troyanos generalmente se propagan mediante algún tipo de ingeniería social . Aunque su carga útil puede ser cualquiera, muchas formas modernas actúan como una puerta trasera , contactando a un controlador que puede obtener acceso no autorizado al dispositivo afectado. ^{[ 1 ]} Los ataques de ransomware a menudo se llevan a cabo utilizando un troyano. A diferencia de los virus y gusanos informáticos , los troyanos generalmente no intentan inyectarse en otros archivos ni propagarse de otra manera. ^{[ 2 ]} Los caballos de Troya reciben su nombre del caballo de Troya de la mitología griega. ^{[ 3 ]}

El término deriva de la antigua historia griega del engañoso caballo de Troya que condujo a la caída de la ciudad de Troya . ^{[ 3 ]} No está claro dónde ni cuándo se originó el concepto de computación, y este término para referirse a él; pero en 1971 el primer manual de Unix asumía que sus lectores conocían ambos. ^{[ 4 ]} Otra referencia temprana se encuentra en un informe de la Fuerza Aérea de los Estados Unidos de 1974 sobre el análisis de vulnerabilidades en los sistemas informáticos Multics . ^{[ 5 ]}

El término «caballo de Troya» fue popularizado por Ken Thompson en su discurso de aceptación del Premio Turing de 1983 , «Reflexiones sobre la confianza en la confianza» ^{[ 6 ],} subtitulado: «¿Hasta qué punto se debe confiar en la afirmación de que un programa está libre de caballos de Troya? Quizás sea más importante confiar en las personas que escribieron el software». Mencionó que conocía la posible existencia de troyanos gracias a un informe sobre la seguridad de Multics. ^{[ 7 ] [ 8 ]}

Una vez instalados, los troyanos pueden realizar diversas acciones maliciosas. Muchos suelen contactar con uno o más servidores de comando y control (C2) a través de Internet y esperar instrucciones. Dado que cada troyano suele utilizar un conjunto específico de puertos para esta comunicación, su detección puede ser relativamente sencilla. Además, otro malware podría potencialmente "tomar el control" del troyano, utilizándolo como intermediario para realizar acciones maliciosas. ^{[ 11 ]}

En los países de habla alemana , el software espía utilizado o creado por el gobierno a veces se denomina govware . El govware se utiliza normalmente para interceptar las comunicaciones del dispositivo objetivo. Algunos países, como Suiza y Alemania, cuentan con un marco legal que regula el uso de este tipo de software. ^{[ 12 ] [ 13 ]} Ejemplos de troyanos govware incluyen el MiniPanzer y el MegaPanzer suizos ^{[ 14 ]} y el "troyano estatal" alemán apodado R2D2 . ^{[ 12 ]} El govware alemán funciona explotando vulnerabilidades de seguridad desconocidas para el público en general y accediendo a los datos de los teléfonos inteligentes antes de que se cifren a través de otras aplicaciones. ^{[ 15 ]}

Debido a la popularidad de las botnets entre los hackers y la disponibilidad de servicios publicitarios que permiten a los autores violar la privacidad de sus usuarios, los troyanos son cada vez más comunes. Según una encuesta realizada por BitDefender entre enero y junio de 2009, "el malware de tipo troyano está en aumento, representando el 83% del malware global detectado en el mundo". ^{[ 16 ]} BitDefender ha declarado que aproximadamente el 15% de las computadoras son miembros de una botnet , generalmente reclutadas mediante una infección troyana. ^{[ 17 ]}

Investigaciones recientes han revelado que el método del caballo de Troya se ha utilizado para atacar sistemas de computación en la nube . Un ataque troyano a sistemas en la nube intenta insertar una aplicación o servicio que puede afectar los servicios en la nube modificando o interrumpiendo sus funcionalidades. Cuando el sistema en la nube identifica el ataque como legítimo, se ejecuta el servicio o la aplicación, lo que puede dañar e infectar el sistema. ^{[ 18 ]}

Los troyanos suelen clasificarse según su función principal o el impacto previsto. Una categoría importante es el troyano bancario , diseñado para robar información financiera como credenciales de banca en línea, números de tarjetas de crédito o claves de monederos de criptomonedas. ^{[ 19 ]} Zeus y TrickBot se encuentran entre los ejemplos más estudiados de este tipo. Otra categoría es el troyano de acceso remoto ( RAT ), que permite a los atacantes obtener el control total de un sistema infectado, lo que les permite instalar software adicional, acceder a archivos o monitorizar la actividad del usuario. ^{[ 20 ]}

Algunos troyanos son principalmente descargadores , lo que significa que sirven como etapa inicial de infección al instalar otras formas de malware una vez dentro de un sistema. Estos a menudo allanan el camino para el reclutamiento de ransomware , spyware o botnets . ^{[ 21 ]} Los troyanos que roban información también son comunes, recopilando datos confidenciales como cookies del navegador , credenciales almacenadas o documentos sin el conocimiento del usuario. Además, los troyanos antivirus falsos imitan software de seguridad legítimo, engañando a los usuarios para que paguen por servicios innecesarios o dañinos. ^{[ 22 ]} Debido a que los troyanos pueden adaptarse para múltiples propósitos, muchos tipos modernos tienen características superpuestas, mezclando elementos de puertas traseras , spyware y descargadores. ^{[ 22 ]} Esta adaptabilidad ha sido un factor importante en su prevalencia como una de las formas más comunes de malware.

Un caballo de Troya es un programa que pretende realizar alguna función legítima, pero que al ejecutarse compromete la seguridad del usuario. ^{[ 23 ]} Un ejemplo sencillo ^{[ 24 ]} es la siguiente versión maliciosa del comando ls de Linux . Un atacante colocaría este script ejecutable en una ubicación pública con permisos de escritura y de "alto tráfico" (por ejemplo, /tmp/ls). Entonces, cualquier víctima que intentara ejecutar lsdesde ese directorio —si y solo si la búsqueda de ejecutables de la víctima ^{[ 24 ]}PATH incluyó imprudentemente el directorio actual— ejecutaría en lugar de , y se eliminaría su directorio personal../tmp/ls/usr/bin/ls

#!/usr/bin/env bash rm -rf ~ 2 >/dev/null # Elimina el directorio personal del usuario y luego elimina self. rm $0

Scripts similares podrían secuestrar otros comandos comunes; por ejemplo, un script que pretenda ser el comando sudo (que solicita la contraseña del usuario) podría enviar esa contraseña por correo electrónico al atacante. ^{[ 23 ]} En estos ejemplos, el programa malicioso imita el nombre de un programa útil y conocido, en lugar de hacerse pasar por un programa nuevo y desconocido (pero inofensivo). Por lo tanto, estos ejemplos también se asemejan al typosquatting y a los ataques a la cadena de suministro .

La prevención de infecciones por troyanos requiere una combinación de concienciación del usuario, medidas de seguridad técnicas y prácticas de seguridad proactivas. Educar a los usuarios sobre los peligros de descargar archivos no verificados o ejecutar programas desconocidos sigue siendo una forma eficaz de prevenir ataques. ^{[ 25 ]} El software de seguridad, como los programas antivirus y antimalware, puede ayudar a detectar, poner en cuarentena y eliminar troyanos cuando se mantiene actualizado. ^{[ 26 ]} Las prácticas de navegación seguras, como evitar enlaces sospechosos, abstenerse de descargar software de fuentes no confiables y tener precaución con los archivos adjuntos de correo electrónico, también son clave para reducir el riesgo. ^{[ 27 ]} Además, mantener actualizaciones periódicas de software y del sistema operativo garantiza que se corrijan las vulnerabilidades conocidas, lo que dificulta que los troyanos exploten las debilidades. ^{[ 28 ]} En entornos profesionales, los cortafuegos de red, los sistemas de detección de intrusiones (IDS) y las herramientas de filtrado de correo electrónico se utilizan habitualmente para bloquear el tráfico sospechoso e impedir que los troyanos se comuniquen con servidores externos. Las comprobaciones de seguridad periódicas, los programas de formación de empleados y las copias de seguridad de datos rutinarias refuerzan aún más las defensas y ayudan a reducir los posibles daños en caso de infección. ^{[ 29 ]}

Los troyanos modernos han evolucionado más allá del malware tradicional basado en archivos, utilizando progresivamente técnicas diseñadas para evitar las herramientas de seguridad basadas en firmas. Un ejemplo de este enfoque es el malware sin archivos, en el que los troyanos operan principalmente en la memoria del sistema y se basan en herramientas administrativas legítimas como PowerShell o la Instrumentación de administración de Windows (WMI). Al reducir o eliminar archivos maliciosos en el disco, los troyanos sin archivos son más difíciles de detectar para el software antivirus convencional. ^{[ 30 ]} En los últimos años, los troyanos se han expandido a plataformas móviles y embebidas. Los troyanos de Android a menudo se distribuyen a través de tiendas de aplicaciones no oficiales o campañas de phishing y pueden solicitar más permisos que permiten el acceso a mensajes, credenciales almacenadas o información financiera. ^{[ 31 ]} Los troyanos dirigidos a dispositivos del Internet de las cosas (IoT) a menudo se aprovechan de prácticas de autenticación débiles o firmware sin parchear, lo que a su vez permite que los dispositivos comprometidos se incorporen a grandes botnets utilizadas para ataques de denegación de servicio distribuido (DDoS). ^{[ 32 ]} Para contrarrestar estos desarrollos, los sistemas de seguridad modernos se basan cada vez más en técnicas de detección basadas en el comportamiento. En lugar de depender únicamente de firmas de malware conocidas, el análisis de comportamiento monitorea la actividad del sistema en busca de señales como escalada de privilegios no autorizada o patrones de comunicación de red sospechosos. ^{[ 33 ]} Junto con la detección basada en el comportamiento, se han desarrollado métodos basados ​​en aprendizaje automático para clasificar y detectar troyanos mediante la identificación de irregularidades en datos de telemetría de sistemas y redes a gran escala. Si bien estos enfoques pueden ayudar a las tasas de detección, también presentan desafíos relacionados con los falsos positivos y la claridad de los sistemas de toma de decisiones automatizados. ^{[ 34 ]}

Han existido muchos troyanos conocidos que han desempeñado un papel importante en la historia de la ciberseguridad. Un ejemplo temprano es el troyano AIDS , desarrollado en 1989. Se considera una de las primeras formas de ransomware, ya que cifraba los nombres de archivo en las computadoras infectadas y exigía un pago para restaurarlos. ^{[ 35 ]}

Un ejemplo famoso es el troyano You Are An Idiot , desarrollado en 2002. Se originó a partir de un sketch cómico del locutor de radio estadounidense Rick Dees en su álbum de 1984, Put It Where the Moon Don't Shine . Específicamente, la melodía vocal se incluyó durante un segmento de broma telefónica titulado "Candid Phone: Dog Funeral". El audio ganó notoriedad a principios de la década de 2000 cuando se sampleó para el sitio web YouAreAnIdiot.org, que funcionaba como un troyano basado en el navegador. Este sitio abrumaba a los usuarios mostrando caras sonrientes parpadeantes en blanco y negro mientras reproducía continuamente la pista vocal. Se convirtió en una legendaria "bomba de ventanas emergentes" porque generaba seis ventanas nuevas cada vez que un usuario intentaba cerrar una y deshabilitaba las teclas de acceso rápido estándar como Alt+F4. Si bien no causaba daños permanentes a los archivos, frecuentemente agotaba los recursos del sistema y provocaba que las computadoras se bloquearan. Posteriormente se crearon versiones seguras del sitio web sin la función de generación de ventanas emergentes. ^{[ 36 ]}

Otro ejemplo famoso es el troyano Zeus , identificado por primera vez en 2007. Zeus se dirigía principalmente a sistemas Microsoft Windows y fue diseñado para robar credenciales bancarias a través de ataques de hombre en el navegador , que infectan el navegador de un usuario para interceptar y manipular datos, lo que lleva a pérdidas financieras generalizadas y filtraciones de datos. ^{[ 37 ]} En 2015, en Ucrania, un grupo de atacantes, a través de una computadora autenticada que fue controlada remotamente usando un troyano de acceso remoto , obtuvo acceso a un servidor controlador, lo que resultó en un corte de electricidad para 80.000 personas. ^{[ 38 ] [ 39 ]} En 2016, el troyano MEMZ , un programa basado en Windows, se hizo ampliamente conocido por sus cargas útiles complejas y destructivas. MEMZ ganó notoriedad por mostrar efectos visuales inusuales en las máquinas infectadas y finalmente dejar los sistemas inutilizables.

• Contenido multimedia relacionado con el troyano (malware) en Wikimedia Commons.
• "Aviso CERT CA-1999-02 Caballos de Troya" (PDF) . Instituto de Ingeniería de Software de la Universidad Carnegie Mellon . Archivado del original el 17 de octubre de 2000. Consultado el 15 de septiembre de 2019 .