¿Por qué el malware no siempre se activa en un laboratorio de pruebas de seguridad?

Respuesta breve: los atacantes diseñan el malware para que permanezca inactivo a menos que reciba una señal de validación de un servidor de comando y control (C2) en vivo que ellos controlan. Para cuando una muestra llega a una base de datos de malware, la infraestructura de C2 normalmente ya se ha movido, por lo que los investigadores a menudo están probando una muestra huérfana que no hace nada.

Por qué los atacantes incorporan la inactividad

• Minimizar la inteligencia: el malware inactivo no realiza ninguna acción maliciosa observable, lo que deja a los analistas con menos elementos para documentar y a los proveedores con menos base para crear firmas.
• Prevenir el secuestro: exigir un saludo secreto garantiza que un rival o investigador que se apodere del servidor C2 no pueda simplemente activar el malware y recolectar los datos robados.

Qué implica esto para la evaluación de herramientas de seguridad

Una prueba de laboratorio contra una muestra desconectada mide muy poco. La pregunta relevante no es si una herramienta reacciona ante malware inactivo que permanece inerte, sino si detiene ataques en vivo y de rápido movimiento a medida que ocurren. Cyber Crucible está diseñado para esto último: monitorea los puntos de entrada de robo de identidad y de datos que los ataques reales atacan, evalúa la intención en menos de 200 milisegundos y detiene el robo antes de que tenga éxito.