38 MEMORIAL ARTILLERíA, nº 175/2 - Diciembre de 2019 de Instrucción y Empleo Análisis estático muestra de mallware Careto con IDA del atacante, dado que quedaba un registro, también denominado log, en los servidores proxy y solo había que ir saltando de uno a otro para poder conocer la última dirección del atacante. En los tiempos actuales las tec-nologías han cambiado, existe la posibilidad de conectarse a redes inalámbricas a lo largo de todo el planeta, así como conectarse a tra-vés de redes, como TOR, que se en-cargan de ocultar nuestra dirección de origen no dejando casi ningún tipo de rastro después del ataque; también los sistemas de mando y control del software malicioso han avanzado mucho, permitiendo cambios dinámicos en los dominios a los que apuntan que permiten a los atacantes efectuar ataques rápi-dos desde distintos puntos. Una vez que se ha producido un ataque, este es analizado por los ex-pertos, normalmente a los ataques se los suele nombrar como alguna cadena de texto o hacen referencia a algún contenido en el interior de la muestra. Por este tipo de cadenas de texto se suele apreciar la proce-dencia del ataque, tal es así que si nos encontramos un amplio conte-nido en cirílico podríamos presupo-ner que nos encontramos ante un atacante de origen ruso; por otro lado, algunos virus, como el Wan-nacry, disponen de un texto para el pago del secuestro de los datos por parte del ransomware, estos textos en su mayoría han sido traducidos por traductores automáticos, como Google, pero se puede apreciar cla-ramente como el mejor escrito se-ría el chino. Otro punto a tener en cuenta a la hora de analizar el có-digo, puede ser si comparte código con otros virus que ya han sido ana-lizados y se conoce su procedencia. En cuanto al análisis dinámico, estamos hablando de que muchas veces los ataques se producen en in-tervalos de horas, imaginemos que las conexiones se producen de lu-nes a viernes a lo largo de una fran-ja horaria de 8 horas, cabe suponer que esos ataques están a cargo de una potencia cuya franja horaria se encuentre aproximadamente desde las 7 u 8 de la mañana, pudiendo calcular un huso aproximado del país de procedencia del ataque, en el caso de que se tratara de personal laboral en horario de funcionariado. Las investigaciones y suposicio-nes que lleva a cabo un analista no son siempre ciertas, por eso las consideraremos como hipótesis que unidas tienden a tener cierta cohe-rencia, la navaja de Ockham nos dice que la teoría más plausible será la
Memorial_artilleria_175_2
To see the actual publication please follow the link above