El malware y las telecomunicaciones
======================================================== netstat — el malware y las redes de telecomunicación propagación · capas · protocolos · botnets ========================================================
## la propagación sigue a las redes
Cada salto de las telecomunicaciones abrió una nueva vía de contagio: la conmutación de paquetes que hace robusta la red la vuelve recorrible por un programa. La historia del malware es la de las redes por las que pudo viajar.
Conmutación de paquetes · ARPANET (años 70)
Trocear la información en «paquetes» que viajan por rutas independientes (Baran y Davies, años 60) hizo la red resistente a fallos… y también recorrible por un programa. Sobre ARPANET, el primer programa autorreplicante ya saltaba de nodo en nodo.
Disquete y redes locales (80–90)
Sin conexión permanente, el vector es el soporte físico que la gente comparte —el «sneakernet»— y la LAN: virus de sector de arranque y de fichero que viajan en disquetes y carpetas compartidas.
Internet global y el correo (2000s)
La conexión permanente vuelve la propagación mundial e instantánea. Conviven dos patrones: el gusano de correo, que abusa de la ingeniería social (el usuario abre el adjunto), y el gusano de red, que explota servicios expuestos sin intervención humana.
Web 2.0 y redes sociales (2008+)
La confianza entre «amigos» se convierte en vector: enlaces y mensajes que aparentan venir de un conocido propagan el malware por las plataformas sociales.
Redes móviles: de 2G a 5G (2004+)
El teléfono es un ordenador siempre conectado. Surgen vectores de proximidad (Bluetooth) y, con los datos móviles y el smartphone, el espionaje avanzado y el fraude sobre la propia red celular.
IoT, banda ancha y 5G (2016+)
Miles de millones de dispositivos always-on con contraseñas de fábrica amplían la superficie de ataque y, sumados, permiten ataques DDoS de escala récord (del orden de terabits por segundo).
> [mirai]
## ¿en qué capa actúa? (modelo tcp/ip)
Aplicación [OSI 5–7 · sesión, presentación y aplicación]
Donde vive lo que usa la persona: correo, web y mensajería. El malware abusa de la confianza del usuario y de los servicios (ingeniería social, macros, exploits de aplicación).
Transporte (TCP/UDP) [OSI 4 · transporte]
Puertos y conexiones extremo a extremo. Los gusanos escanean puertos buscando servicios; con UDP, sin establecer conexión, la propagación puede ser ultrarrápida.
Internet (IP) [OSI 3 · red]
Direccionamiento y enrutamiento entre redes. El escaneo de rangos de IP y la explotación remota permiten al malware saltar de una red a otra por todo el mundo.
Acceso / enlace [OSI 1–2 · enlace de datos y físico]
El medio local y sus tramas: Ethernet, Wi-Fi, Bluetooth. Vectores de proximidad y de red local, difíciles de alcanzar en remoto pero muy efectivos de cerca.
> [cabir]
## protocolos abusados
$ cat /proc/net/protocols
SMTP (correo)
(25/587)
— Autoenvío masivo a la libreta de contactos con adjuntos maliciosos e ingeniería social; base de las grandes campañas de spam.
HTTP/HTTPS (web)
(80/443)
— Explotación de servidores web, descargas «drive-by» y canal de mando y control (C2) camuflado entre el tráfico web legítimo.
SMB (compartición de archivos)
(445)
— Explotación remota (EternalBlue) y propagación por recursos compartidos: el vector de las grandes epidemias de gusano-ransomware.
RDP (escritorio remoto)
(3389)
— Fuerza bruta de credenciales y movimiento lateral: una de las puertas de entrada favoritas del ransomware dirigido.
SQL Server Resolution
(UDP 1434)
— Un único paquete UDP explota el servicio y se propaga sin conexión a velocidad de récord (todo el Internet vulnerable en minutos).
DNS
(53)
— Algoritmos de generación de dominios (DGA) y tunelización para localizar el C2 y evadir bloqueos; también reflexión/amplificación para amplificar ataques DDoS.
P2P (mando y control descentralizado)
(—)
— Sin servidor central que desmantelar: cada bot reparte órdenes a sus vecinos, lo que dota a la botnet de gran resistencia.
Bluetooth
(—)
— Propagación por proximidad (OBEX) entre dispositivos móviles, sin pasar por ninguna red de operador.
> [cabir]
Telnet
(23/2323)
— Prueba de credenciales por defecto en dispositivos IoT para reclutarlos en una botnet de ataque.
> [mirai]
## el malware como red: botnets
El malware no solo usa las redes: construye las suyas. Una botnet es una red de equipos infectados coordinada por un mando y control (C2). Su arquitectura evolucionó de IRC a HTTP y de ahí a P2P, DGA y fast-flux para resistir el desmantelamiento, y con ella lanza DDoS, fraude, spam o ransomware.
> fin del informe_