Prueba ATP: 26 paquetes de seguridad defendiendo contra ransomware y ladrones de información

Todos los productos tienen que defender en 10 escenarios reales contra 5 variantes de ransomware y 5 ladrones de información. El transcurso de cada ataque se documenta en todos sus pasos y después se valora. Cada ataque se describe en una matriz basada en el estándar MITRE ATT&CK. El laboratorio otorga puntos por cada ataque detectado y detenido. En la prueba, los autores de los ataques fueron 5 veces ejemplares de ransomware y 5 veces ladrones de información. El ransomware se debe detectar en tres pasos fundamentales; en el caso de los ladrones de información, se dispone de cuatro acciones. Con cada acción de defensa, un producto puede ganar medio o un punto entero. Por lo tanto, el laboratorio puede otorgar cinco veces 3 puntos por cada ransomware detenido, y cinco veces 4 puntos por cada ladrón de información. Si en una paso de defensa solo se detiene parcialmente al atacante, solo se obtiene medio punto o incluso ninguno. La máxima puntuación de protección que puede obtener un producto es de 35 puntos.

En los ataques se utilizan diversas técnicas de agresión que los atacantes también usan actualmente en los ataques reales. Algunos ciberdelincuentes incluso combinan diversas técnicas para dificultar aún más la detección. Estas son dos técnicas de ataque que se utilizan con especial intensidad en esta prueba:

Memory-mapped file I/O: Esta técnica es un método alternativo para acceder a archivos en la unidad de disco. El acceso al archivo se lleva a cabo a través de la memoria utilizando una dirección vinculada a esta. Por ejemplo, el ransomware puede encriptar documentos almacenados en la memoria caché sin ocasionar procesos de escritura adicionales en el disco duro. De este modo, las herramientas que vigilan los procesos de escritura en el disco duro no notan que el malware accede a un documento almacenado en caché, ya que los datos se ponen a disposición en la memoria y no en el disco duro.

En nuestros ataques, el memory-mapped file I/O se utiliza para encriptar archivos con ransomware o para leer archivos durante la exfiltración.

Command line y PPID spoofing: El spoofing de líneas de comandos o de PPID (Parent Process ID) son técnicas utilizadas por el malware para colarse en actividades legítimas del sistema. De este modo se camufla para no ser detectado. En el caso del spoofing de líneas de comandos se enmascaran los argumentos transferidos a procesos maliciosos. En el del spoofing PPID se manipula el identificador de proceso padre del proceso malicioso para dar la impresión de que se ha iniciado un proceso de confianza. Estas técnicas dificultan el análisis forense y obstaculizan la detección de actividades maliciosas por parte de las herramientas de seguridad que analizan relaciones entre procesos o actividades de líneas de comandos.

En nuestros ataques, las instancias de PowerShell se inician para ejecutar tareas aisladas. Estas instancias se inician con PPID y líneas de comando falsificados.

Los 10 escenarios de prueba

Todos los escenarios de ataque están documentados de acuerdo con los estándares de la base de datos de MITRE ATT&CK. Los diferentes subpuntos, por ejemplo “T1566.001”, aparecen en la base de datos de MITRE para “Techniques” bajo “Phishing: Spearphishing Attachment”. Cada paso de la prueba, por lo tanto, está definido por especialistas y es trazable y comprensible. Además se explican todas las técnicas de ataque y cómo se hace uso del malware en ellas.

Para usuarios privados: los resultados de la prueba ATP

Los test realizados a los productos para usuarios privados dieron algunas sorpresas. Solo 4 de los 11 productos examinados concluyeron la prueba perfectamente en los 10 escenarios y consiguieron los máximos 35 puntos para su puntuación en protección: Bitdefender, ESET, McAfee y Microsoft.

Los paquetes de Avast, AVG y Norton detectaron a los atacantes en los 10 escenarios, pero sufrieron mucho con un ladrón de información y un ransomware. Los productos detectaron a los atacantes, pero no pudieron bloquearlos por completo. Ambos ejemplares de malware utilizaron para el ataque una técnica mediante la que se crea y usa un script AutoHotKey. Los productos tampoco pudieron evitar la creación del script, sin embargo sí detuvieron su ejecución y pararon el ataque. Por ello, cada producto perdió 1 punto por cada problema con el malware, es decir, 2 puntos. Al final, Avast, AVG y Norton acumularon 33 puntos para la puntuación de detección.

G DATA y F-Secure detectaron respectivamente solo a 9 de los atacantes. Ambos fracasaron con un ladrón de datos diferente, por lo que perdieron 4 puntos. A esto hay que añadir que hubo un ejemplar que ambos paquetes detectaron, pero no pudieron bloquear en los primeros pasos. Tampoco pudieron detener la creación de un script de ataque. El paquete de G DATA al menos detuvo la ejecución y, por tanto, el ataque y solo perdió un punto. El paquete de seguridad de F-Secure no lo consiguió y el sistema fue encriptado, por lo que perdió 2,5 puntos más. Al final de la prueba, a G DATA le quedaron en su haber 30 de los 35 puntos y a F-Secure 28,5 puntos para la puntuación en protección.

La situación de Avira y K7 Computing se explica rápidamente: identificaron respectivamente solo 8 de los 10 ataques. En el caso de un ransomware y un ladrón de información respectivamente no hubo defensa, lo cual les costó 7 valiosos puntos (4 y 3 puntos). Al final, consiguieron 28 puntos en vez de 35 para la puntuación en protección.

Todos los paquetes de seguridad merecieron el certificado “Advanced Certified”, otorgado por AV-TEST, ya que obtuvieron el 75 por ciento de los 35 puntos máximos (26,5 puntos).

Para empresas: los resultados de la prueba ATP

Las 15 soluciones examinadas para empresas mostraron una gran efectividad en la prueba ATP. 12 de los 15 productos no dieron ninguna oportunidad a los atacantes en ninguno de los 10 escenarios y recibieron los 35 puntos máximos para la puntuación en protección: Acronis, Bitdefender (ambas versiones), ESET, Kaspersky (ambas versiones), Microsoft, Microworld, Qualys, Symantec, Trellix y WithSecure.

La solución de Net Protector tuvo ligeras dificultades en la detección de un ransomware. Detectó al atacante, pero no pudo bloquearlo de inmediato. El ransomware colocó un script de ataque. Sin embargo, la solución impidió su ejecución y detuvo el ataque. Esto le costó un punto y solo recibió 34 de los 35 puntos posibles.

La solución endpoint de Avast también tuvo sus problemas con un ladrón de información y un ransomware. Detectó al atacante, pero en un principio no pudo evitar que siguiera actuando. El malware incluso pudo crear scripts de ataque en ambos casos. Pero Avast consiguió detener su ejecución y a los atacantes definitivamente. Debido a estos problemas, el producto perdió dos veces un punto y acabó con 33 de los 35 puntos para la puntuación de protección.

La solución de protección de Rapid7 descubrió a los 10 atacantes, pero dos de ellos le llevaron al límite. Un ladrón de información libró una auténtica batalla con la solución. Primero detectó al atacante, pero no pudo detenerlo. Después, esto creó un script que empezó a recopilar datos. Rapid7 no evitó su ejecución. Al final, el malware incluso consiguió extraer algunos datos y enviarlos. Fue solo en ese momento cuando el software de seguridad consiguió detener al agresor. Este percance le costó a Rapid7 2 de los 3 puntos posibles.

La segunda complicación, esta vez con un ransomware, comenzó de manera casi idéntica. No obstante, esta vez Rapid7 no pudo hacer nada más contra el atacante. El sistema acabó siendo encriptado. Por lo tanto, la solución de Rapid7 terminó con 29,5 de los 35 puntos alcanzables en la puntuación de protección.

Todos los productos para empresas en la prueba ATP recibieron el certificado “Advanced Approved Endpoint Protection“ por conseguir al menos un 75 por ciento (o sea, más de 26,5 puntos) de los 35 puntos posibles en la puntuación de protección.

Algunos productos tienen que mejorar

La prueba ATP, con sus test detallados, demuestra, especialmente en el caso de los productos para usuarios privados, que hay tanto paquetes de seguridad muy buenos como algunos de dejan que desear. Solo 4 de los 11 protectores del sistema examinados en la prueba merecieron la máxima puntuación: Bitdefender, ESET, McAfee y Microsoft.

Las suites de seguridad de Avast, AVG y Norton también obtuvieron un buen resultado con 33 de los 35 puntos. Si bien al principio perdieron frente al malware, al final se hicieron con el control.

En el caso de las soluciones para empresas, el panorama es notablemente mejor. 12 de los 15 paquetes endpoint para Windows examinados superaron la prueba sin fallos y cruzaron la línea de meta con los 35 puntos máximos. Solo 3 fabricantes tienen que mejorar.