Malware troyano Zeus: definición y prevención

Desde que apareció en Internet en 2007, el ataque de malware Zeus (también conocido como Zbot) se ha convertido en un virus troyano altamente eficaz. Incluso en la actualidad, el troyano Zeus y sus variantes son una amenaza importante para la ciberseguridad y muchos equipos con Microsoft Windows siguen en riesgo. Como algunas variantes del virus Zeus son de malware sin archivos, el software antivirus puede tener problemas para detectarlas.

El malware Zeus puede otorgar al atacante acceso completo a los equipos infectados. Aunque la variante original de Zeus utilizaba principalmente registradores de pulsaciones en el navegador para obtener acceso a las credenciales bancarias y demás información financiera de un ordenador infectado, muchas formas del virus Zeus también pueden usarse para añadir el ransomware CryptoLocker a un sistema operativo o añadir los equipos infectados a una red de bots para realizar ataques de denegación de servicio distribuidos (DDoS).

¿Qué es el malware Zeus?

El virus troyano Zeus se creó en 2007, cuando los hackers de Europa oriental lo usaron para atacar al Departamento de transporte de Estados Unidos. Aunque es difícil asegurar quién lo creó, el ataque alzó verdaderamente el vuelo cuando su código malicioso se dio a conocer en 2011. Desde entonces, han aparecido decenas de variantes que han mantenido ocupados a los expertos de seguridad de Internet y a los cuerpos de seguridad.

Existen dos vectores de ataque habituales por los que se abren paso los ataques del malware troyano Zeus en los ordenadores con Windows. Las descargas drive-by necesitan que un usuario visite un sitio web que contenga el código de la puerta trasera del troyano. Después, se descargan archivos en el ordenador del usuario sin que este lo sepa. Los navegadores modernos, como Google Chrome, suelen bloquear estas descargas y los sitios en los que se encuentran, pero los hackers mejoran continuamente el modo de evitar esto. Por su parte, los navegadores más antiguos, como Internet Explorer, posiblemente no sean capaces de bloquear en absoluto las descargas drive-by. El otro modo principal de infección de Zeus es con ataques de phishing mediante los cuales los usuarios creen que se están descargando un software de confianza desde enlaces de correo electrónico o desde una publicación en redes sociales.

Los dos objetivos principales del virus troyano Zeus son robar la información financiera de las personas y añadir equipos a una red de bots. A diferencia de muchos tipos de malware, la mayoría de las variantes de Zeus tratan de evitar hacer daño a largo plazo a los dispositivos que infectan. Su objetivo es evitar la detección de un software antivirus. Cuanto más tiempo permanezcan en un equipo, más probabilidades habrá de que el hacker pueda recopilar información valiosa de las instituciones financieras.

No hay límite de equipos que puedan formar parte de una red de bots de Zeus: el FBI y el Departamento de Justicia de Estados Unidos estimaron que, en 2014, hasta un millón de equipos de todo el mundo estaban infectados con la variante Gameover de Zeus.

Tipos y casos de uso del malware Zeus

El virus Zeus es versátil y malintencionado, y su código fuente público facilita que los atacantes puedan personalizarlo según sus necesidades. Algunas de las variantes más habituales de Zeus son:

• Gameover Zeus: la variante más peligrosa, el malware Gameover Zeus, permite a los ciberdelincuentes lanzar un ataque de ransomware potencialmente devastador en un ordenador que ejecute Microsoft Windows.
• SpyEye: este malware bancario funciona de forma parecida al malware Zeus, y de hecho los programas están muy relacionados entre sí.
• Ice IX: después de que se filtrara el virus Zeus, el sistema Ice IX fue la primera red de bots basada en su código fuente. Utiliza formas no autorizadas para robar información financiera, como tus credenciales bancarias.
• Carberp: este troyano bancario afecta a las antiguas versiones de Windows, como Windows XP y Windows 7. Algunos combinaron este troyano bancario con la base del código de Zeus para crear un malware llamado "Zberp".
• Shylock: esta infección de malware utiliza ataques en el navegador para robar información de cuentas bancarias.

Implementar una seguridad sólida de los endpoints y mantener el software antivirus actualizado son dos de las mejores formas de protegerse contra Zeus y sus muchas variantes.

Algunas señales de que un equipo está infectado con un troyano Zeus son:

• Una disminución repentina de la velocidad operativa del dispositivo.
• Transacciones inusuales en tu portal bancario online.
• Programas desconocidos que se ejecutan en tu sistema operativo.
• Tu ordenador se sobrecalienta de repente.

Riesgos del virus Zeus

Solo por el hecho de que un riesgo esté bien establecido, no significa que ya no sea una amenaza. Los exploits de desbordamiento de búfer, por ejemplo, llevan 40 años deambulando y aún pueden destrozar a los servidores y sistemas que se hayan negado a priorizar la ciberseguridad.

A medida que evoluciona la tecnología, también lo hacen las técnicas que utilizan los atacantes para obtener acceso a dicha tecnología. Además, la infraestructura de nuestra sociedad se está volviendo cada vez más digital. Esto no hace sino aumentar el riesgo.

Cuando el FBI tomó medidas contra Gameover Zeus en 2014, estimó que el malware había infectado ya a un millón de ordenadores, y un 25 % de estos se encontraban en Estados Unidos. Esto se tradujo en más de 100 millones de dólares en daños financieros. El riesgo más inmediato de una infección Zeus es la pérdida financiera como resultado de que tus credenciales bancarias se hayan visto comprometidas. Y, si el ciberdelincuente da con un objetivo corporativo con mucho dinero, mucho mejor.

Pero el troyano Zeus presenta otro riesgo principal más sutil. El virus y sus variantes pueden permanecer sin ser descubiertos en un ordenador durante meses o más, activándose solo cuando la red de bots necesite el equipo. A diferencia de muchos otros tipos de redes de bots, no existe un ordenador de mando central que los cuerpos de seguridad puedan cerrar, sino que cualquiera de los equipos puede enviar órdenes en cualquier momento.

De manera similar a lo que ocurre con la herramienta Sidoh, cuanto más tiempo permanezca Zeus sin detectarse en un sistema, mayor será el daño que puede provocar. Un equipo infectado puede registrar las pulsaciones de un usuario y enviarlas al ciberdelincuente, o puede generar de forma activa páginas falsas de inicio de sesión de redes sociales para recopilar y vender las credenciales de inicio de sesión. Puede organizar un ataque de denegación de servicio distribuido (DDoS) contra una persona, una empresa o un gobierno o puede quedarse inactivo hasta que se necesite la red de bots.

En cualquier caso, es mejor que las empresas grandes y pequeñas sean proactivas sobre su ciberseguridad. Los sitios que permiten a los usuarios iniciar sesión, por ejemplo, pueden implementar medidas de seguridad como la autenticación de dos factores y medidas de seguridad de endpoint.

Prevenir ataques del malware Zeus

Como ocurre con muchas amenazas en Internet, el mejor modo de prevenir un ataque de malware Zeus es adoptar un enfoque con varias vertientes. No presupongas que una herramienta antimalware será suficiente. Mantén ese software actualizado en todos los equipos que monitorice tu empresa y asegúrate de que se están ejecutando de manera correcta.

Otro elemento importante de protección frente a cualquier forma de malware, ransomware u otros exploits, es el factor humano. Forma a todos tus empleados para que detecten los ataques de phishing y el spam, y cuenta con un sistema de denuncias por si sospechan de cualquier tipo de actividad maliciosa. De igual forma, debes establecer una política de uso aceptable sólida y una gestión de endpoints unificada para los dispositivos de tu empresa.

La buena noticia es que el código fuente del troyano Zeus es público desde 2011. Esto significa que no solo los atacantes, sino que también los defensores, pueden aprender mucho de él. Especialmente después de que el FBI tomara medidas contra Gameover Zeus en 2014, los profesionales de la seguridad han trabajado duro en la aplicación de estas lecciones.

Aunque los objetivos principales de Zeus son la información financiera y las credenciales de inicio de sesión, las redes de bots como la que ejecuta Gameover Zeus no suelen ser muy selectivas a la hora de dirigir sus ataques. Todo el mundo puede bajar la guardia y ser víctima de una descarga drive-by. Estas son algunas de las prácticas recomendadas que puedes implementar para prevenir que Zeus te cause problemas en el futuro:

• Unas buenas prácticas cibernéticas son cruciales para prevenir cualquier brecha. Mantén actualizado tu software, navegador y firewalls.
• Evita hacer clic en enlaces de correos electrónicos sospechosos de phishing.
• Utiliza un programa antivirus de una fuente fiable y actualiza sus definiciones de virus al menos una vez al mes.
• Mantente al día sobre los nuevos desarrollos mediante noticias de seguridad y sé consciente de manera proactiva de las nuevas amenazas basadas en código antiguo.
• Forma a todo tu equipo (y no solo al personal de TI) en cuestión de prácticas recomendadas.

Como suele pasar con la mayoría del malware, la clave para prevenir un ataque Zeus (o de cualquier otro troyano bancario) es una combinación de tecnología avanzada y esfuerzo por parte de las personas. Todo el mundo juega un papel en la ciberseguridad, por lo que colaborar con un socio experto es una de las mejores cosas que se pueden hacer.

Cómo prevenir el malware Zeus con CrowdStrike

Existe un eterno tira y afloja entre las personas que crean software malicioso y las que protegen los ordenadores, los servidores y las redes. En el fondo, la seguridad de la información no es nunca responsabilidad de una única persona. Las prácticas de seguridad reales necesitan investigación y conocimientos de todo el mundo. Y ahí es donde entra el equipo de expertos de CrowdStrike.

La plataforma CrowdStrike Falcon® proporciona protección nativa de la nube de nueva generación para los endpoints mediante un único agente ligero y ofrece un conjunto de métodos de detección y prevención complementarios. Para obtener más información, ponte en contacto con nuestra organización para programar una demo o inscribirte en una prueba.