Glosario

========================================================
   man glosario — términos de malware y ciberseguridad
   83 entradas
========================================================

## A

adware Software que muestra publicidad no deseada; a veces recopila datos de navegación. Suele acompañar a instaladores de aplicaciones gratuitas.

air gap (aislamiento físico) Separación física de una red respecto de Internet como medida de seguridad. Stuxnet demostró que un USB puede salvarla.

antivirus Programa que detecta, bloquea y elimina malware combinando firmas de amenazas conocidas y análisis heurístico/de comportamiento.

apt (amenaza persistente avanzada) Atacante sofisticado y con recursos —a menudo un Estado— que se infiltra en una red y permanece oculto largo tiempo para espiar o sabotear (p. ej. Stuxnet).

autenticación multifactor (mfa/2fa) Exigir, además de la contraseña, un segundo factor (código de una app, llave física) para dificultar el acceso con credenciales robadas.

## B

backdoor (puerta trasera) Acceso oculto que permite al atacante controlar un sistema saltándose la autenticación normal.

bomba lógica Código malicioso que permanece latente y se activa cuando se cumple una condición, como una fecha concreta (p. ej. Michelangelo).

bootkit Malware que infecta el sector de arranque o el firmware para ejecutarse antes que el sistema operativo, lo que lo hace difícil de detectar.

botnet Red de equipos infectados («bots») controlados de forma remota por un atacante, usada para enviar spam, fraude o ataques DDoS.

## C

c2 (mando y control) Infraestructura (servidores, dominios) que el malware usa para recibir órdenes y enviar datos robados. También «C&C».

cadena de suministro (supply chain) Ataque que compromete a la víctima a través de un proveedor de confianza, como una actualización legítima de software (p. ej. SolarWinds).

carga útil (payload) La parte del malware que ejecuta su acción dañina: cifrar archivos, robar datos, borrar el disco, etc.

cert / csirt Equipo de respuesta a incidentes de seguridad. En España, por ejemplo, INCIBE-CERT y CCN-CERT.

cifrado asimétrico Esquema con una clave pública para cifrar y otra privada para descifrar. El ransomware moderno lo usa para que solo el atacante pueda revertir el cifrado.

cortafuegos (firewall) Barrera que filtra el tráfico de red permitiendo o bloqueando conexiones según un conjunto de reglas.

cryptojacking Uso no autorizado de los recursos del equipo de la víctima para minar criptomonedas en beneficio del atacante.

cve Identificador público y único de una vulnerabilidad concreta (p. ej. CVE-2017-0144, la de EternalBlue), para referirse a ella sin ambigüedad.

cvss Sistema estándar que puntúa la gravedad de una vulnerabilidad en una escala de 0 a 10, para ayudar a priorizar su corrección.

## D

ddos Ataque de denegación de servicio distribuido: muchos equipos saturan un objetivo con tráfico hasta dejarlo inaccesible (p. ej. Mirai).

defensa en profundidad Estrategia de seguridad basada en múltiples capas: si una barrera falla, las siguientes siguen conteniendo la amenaza.

depurador (debugger) Herramienta que ejecuta un programa paso a paso para observar su comportamiento en vivo (p. ej. x64dbg, GDB).

desbordamiento de búfer (buffer overflow) Escribir más datos de los que una zona de memoria admite, sobrescribiendo estructuras contiguas para alterar la ejecución del programa.

desensamblador / decompilador Herramienta que traduce el código máquina a ensamblador (desensamblador) o a un pseudocódigo legible (decompilador), como Ghidra o IDA.

dga (generación de dominios) Algoritmo que crea muchos nombres de dominio pseudoaleatorios para localizar el C2 y dificultar su bloqueo (p. ej. Conficker).

doble extorsión Táctica del ransomware moderno: además de cifrar, se roban los datos y se amenaza con publicarlos si no se paga.

drive-by download Descarga e infección automáticas al visitar una web comprometida, sin que el usuario tenga que hacer clic en nada.

dropper Programa cuya función es instalar («soltar») otro malware en el sistema, a menudo como primera fase de la infección.

## E

edr / xdr Herramientas de detección y respuesta que vigilan la actividad de los equipos (EDR) o de todo el entorno (XDR) para detectar y contener ataques, más allá del antivirus tradicional.

entropía Medida del grado de aleatoriedad de los datos. Una entropía muy alta en un ejecutable delata que está empaquetado o cifrado.

escalada de privilegios Aprovechar un fallo o una mala configuración para pasar de permisos limitados a los de administrador o del sistema.

esteganografía Ocultar información o código dentro de otro fichero de apariencia inocente (una imagen, un audio) para pasar desapercibido.

eternalblue Exploit de una vulnerabilidad de Windows (SMBv1) filtrado en 2017 y usado por WannaCry y NotPetya para propagarse por la red.

exfiltración de datos Extracción no autorizada de información desde la red de la víctima hacia la infraestructura del atacante.

exploit Código que aprovecha una vulnerabilidad para lograr un comportamiento no previsto, como ejecutar código o elevar privilegios.

## F

firma (signature) Patrón único —una secuencia de bytes, un hash— que identifica a una muestra concreta de malware. La detección por firma solo reconoce lo ya conocido.

fuerza bruta Probar sistemáticamente muchas combinaciones (contraseñas, claves) hasta dar con la correcta.

## G

gusano (worm) Malware que se propaga solo por la red, sin necesidad de un fichero anfitrión ni de la acción del usuario (p. ej. SQL Slammer).

## H

hash Huella digital de longitud fija calculada sobre un fichero (p. ej. SHA-256). Identifica una muestra sin exponerla; si el fichero cambia, cambia.

heurística Técnica de detección que busca comportamientos o patrones sospechosos, en lugar de firmas exactas, para detectar malware desconocido.

honeypot (señuelo) Sistema trampa, deliberadamente vulnerable, que atrae a los atacantes para estudiar sus técnicas y desviarlos de los reales.

## I

ids / ips Sistemas que detectan (IDS) o además bloquean (IPS) tráfico o actividad sospechosa en la red comparándola con firmas o anomalías.

ingeniería inversa Analizar un programa del que no se tiene el código fuente para entender cómo funciona; clave para diseccionar el malware.

ingeniería social Manipulación psicológica para que la víctima actúe contra su interés (abrir un adjunto, revelar una contraseña).

inteligencia de amenazas Conocimiento organizado sobre los adversarios, sus motivaciones y sus TTP, que permite anticipar y priorizar la defensa.

ioc (indicador de compromiso) Pista observable de una intrusión: un hash, un dominio, una clave de registro, una extensión de archivo, etc.

## K

keylogger Malware o dispositivo que registra las pulsaciones del teclado para robar contraseñas y otros datos que la víctima teclea.

kill chain (cadena de ataque) Modelo que describe las fases de un ciberataque, del reconocimiento a la acción final sobre el objetivo.

## L

living off the land (lolbins) Técnica de abusar de binarios y herramientas legítimas ya presentes en el sistema (PowerShell, WMI) para pasar desapercibido.

loader (cargador) Malware modular que, una vez dentro, descarga y ejecuta otras cargas (p. ej. Emotet distribuyendo TrickBot y ransomware).

## M

macrovirus Virus escrito en el lenguaje de macros de documentos ofimáticos (Word, Excel); se activa al abrir el documento (p. ej. Melissa, Concept).

malvertising Distribución de malware a través de anuncios en línea maliciosos, a veces en webs legítimas.

malware Término general para cualquier software malicioso: virus, gusanos, troyanos, ransomware, spyware, etc.

malware sin fichero (fileless) Malware que opera en memoria y abusa de herramientas legítimas del sistema, dejando poco o ningún rastro en disco.

metamorfismo Capacidad del malware de reescribir por completo su propio código en cada infección, sin cifrarlo; va más allá del polimorfismo.

movimiento lateral Técnica del atacante para, una vez dentro, saltar de un equipo a otro dentro de la red hasta alcanzar sus objetivos.

## O

ofuscación Transformar el código para que sea difícil de leer y analizar sin alterar su función; táctica habitual para evadir la detección.

## P

packer (empaquetador) Herramienta que comprime o cifra un ejecutable para ocultar su contenido a los antivirus; eleva la entropía del fichero.

parche (patch) Actualización que corrige un fallo de seguridad. Aplicarlo a tiempo reduce la «ventana de exposición» que aprovecha el malware.

pentesting (prueba de intrusión) Ataque simulado y autorizado contra un sistema para descubrir sus vulnerabilidades antes que un atacante real.

persistencia Mecanismos que usa el malware para sobrevivir a los reinicios: tareas programadas, claves de registro de arranque, servicios.

phishing Fraude que suplanta a una entidad de confianza (banco, empresa) por correo o mensaje para robar credenciales o infectar; principal vía de entrada actual.

polimorfismo Capacidad del malware de cambiar su código en cada infección (cifrándose y variando su descifrador) para evadir la detección por firma.

## R

raas (ransomware como servicio) Modelo de negocio criminal en el que unos desarrolladores alquilan su ransomware a afiliados a cambio de una comisión.

ransomware Malware que cifra los archivos de la víctima y exige un rescate, normalmente en criptomoneda, para descifrarlos (p. ej. CryptoLocker).

red team / blue team Equipos de ataque simulado (red) y de defensa (blue) que, enfrentados, ponen a prueba y mejoran la seguridad de una organización.

relleno de credenciales (credential stuffing) Reutilizar credenciales robadas de una filtración para intentar entrar en otros servicios donde la víctima repita contraseña.

rootkit Conjunto de técnicas para ocultar la presencia de malware en el sistema, interceptando llamadas del sistema operativo.

## S

sandbox (entorno aislado) Entorno controlado y separado donde se ejecuta código sospechoso para observar su comportamiento sin poner en riesgo el resto.

scareware Engaño que asusta al usuario con una falsa alerta de infección para que pague por un «antivirus» inútil o instale malware.

sector de arranque Zona del disco que el equipo lee al encender. Los virus de sector de arranque se cargan antes que el sistema operativo (p. ej. Brain).

siem Plataforma que centraliza y correlaciona los registros de seguridad de toda la organización para detectar incidentes y facilitar su análisis.

sinkhole (sumidero) Técnica defensiva que redirige el tráfico de una botnet hacia un servidor controlado para estudiarla o neutralizarla.

soc Centro de operaciones de seguridad: el equipo que vigila, detecta y responde a incidentes de forma continua.

spear phishing Phishing dirigido y personalizado contra una persona u organización concreta, usando información previa para resultar creíble.

spyware Malware diseñado para espiar: registrar pulsaciones, robar credenciales o vigilar la actividad del usuario.

## T

troyano Malware que se disfraza de software legítimo para engañar al usuario y ejecutarse; no se propaga solo (p. ej. Zeus).

troyano bancario Malware especializado en robar credenciales y datos de banca en línea, a menudo inyectando campos en la web del banco (p. ej. Zeus, Dridex).

ttp Tácticas, técnicas y procedimientos: la forma característica de actuar de un adversario. Es el lenguaje del marco MITRE ATT&CK.

## V

vector de ataque La vía por la que el malware entra o se propaga: correo, USB, una vulnerabilidad de red, una web comprometida, etc.

virus Malware que se inserta en otros ficheros o programas y se propaga cuando estos se ejecutan o comparten.

vulnerabilidad Fallo o debilidad en un sistema que un atacante puede aprovechar. Un «zero-day» es una aún desconocida por el fabricante.

## W

wiper (borrador) Malware cuyo objetivo es destruir datos de forma irreversible; a veces se disfraza de ransomware (p. ej. NotPetya).

## Z

zero-day (día cero) Vulnerabilidad desconocida por el fabricante (sin parche), muy valiosa porque no existe defensa específica cuando se explota.

> fin del glosario_