¿Cómo funciona la mayor red de malware del mundo?

Nadie duda de que el malware es una de las grandes losas de la seguridad en Internet, más aún con la proliferación de este tipo de ataques en los últimos meses. Sin embargo, pocos conocen el funcionamiento interno de una de estas redes de malware, algo imprescindible para poder prevenir posibles infecciones futuras.

Para conocer en profundidad qué es una red de malware y cómo se distribuye y protege para evitar ser detectada, vamos a utilizar el ejemplo de Shnakule, la principal red de este tipo.

Según explican desde el proveedor de seguridad Blue Coat, Shnakule usa entre 50 y 5.005 dominios únicos por día, dependiendo del nivel de actividad del ataque, alojados en servidores ubicados en 39 países de todo el mundo. De este modo, aunque los servidores de una región estén inactivos, la malnet (abreviatura usada para las redes de malware) sigue lanzando sus ataques de malware desde el resto, en un proceso denominado “protección por difusión”.

“Las malnets utilizan una estructura similar a Pando para asegurarse de que siguen funcionando en otros lugares y se propagan en el caso de que haya un país o grupo de países las bloquea”, explica Miguel Ángel Martos, country manager de Blue Coat en España y Portugal.

Pando es una colonia de álamos temblones en el que todos los árboles de la colonia comparten una estructura de raíz única. Si un árbol muere, el organismo sobrevive y sigue produciendo nuevos árboles. No es de extrañar pues que Pando, considerado el organismo vivo más grande del mundo, se extienda por 43 hectáreas, cuente con cerca de 47.000 tallos y tenga unos 80.000 años de antigüedad.

Las malnets, como Shnakule, imitan esta estructura al ubicar servidores en diferentes países por todo el mundo, lo cual permite transferir recursos fácilmente de un país a otro, según a quién se quiera atacar. Por ejemplo, en enero de 2012, sólo el 3,33% de todos los servidores de spam y scam de Shnakule se encontraban en norteamérica. Sin embargo, en julio este número había aumentado al 39,75%, lo que indica un aumento de los ataques de spam dirigidos hacia EEUU y Canadá.

Estas redes de malware también transfieren sus componentes entre los distintos países en busca de proveedores de alojamiento más dispuestos a pasar por alto las actividades sospechosas, indican desde Blue Coat. Por ejemplo, en los últimos seis meses, la proporción de servidores de malware en Europa del Este se mantuvo relativamente estable en un 17%, frente a importantes variaciones en otras partes del mundo.