El ataque invisible a QEMU
Investigadores de ciberseguridad han informado de una nueva y sofisticada técnica de intrusión con la que los atacantes han aprendido a utilizar máquinas virtuales QEMU como canal oculto para introducir software malicioso, incluido ransomware. QEMU es una popular plataforma de virtualización que sirve para ejecutar sistemas operativos invitados dentro del sistema principal. Normalmente, los administradores usan estos entornos virtuales para hacer pruebas, desarrollar o aislar procesos potencialmente peligrosos. Pero esa misma separación se convirtió en una brecha que los hackers supieron aprovechar.
El ataque consiste en que los delincuentes crean o modifican imágenes de QEMU de tal forma que la carga maliciosa que contienen resulta prácticamente invisible para las herramientas de protección tradicionales. Los antivirus y sistemas de monitorización del sistema operativo principal apenas podían ver lo que ocurría dentro de la máquina virtual. Los investigadores lo compararon con un «caballo de Troya»: un contenedor virtual aparentemente inofensivo escondía en realidad herramientas para comprometer el sistema.
Una vez iniciada una de estas imágenes, los atacantes podían interactuar con el equipo anfitrión y eludir poco a poco las políticas de seguridad. En uno de los casos estudiados, el código malicioso aprovechó vulnerabilidades en los procesos de intercambio de datos entre la máquina virtual y el sistema principal. Así lograba introducir componentes de ransomware que después cifraban los archivos del equipo anfitrión.
El método fue posible por la combinación de varios factores: una confianza excesiva en los entornos virtualizados, una protección insuficiente de los canales intermedios y el hecho de que los administradores a menudo no detectan cambios en las imágenes de QEMU porque las consideran seguras por definición. Los analistas subrayaron que este esquema hace que el ataque sea «prácticamente invisible» para las herramientas de seguridad estándar.
Las imágenes maliciosas de QEMU se distribuían por canales que imitaban materiales técnicos legítimos. Los archivos se hacían pasar por herramientas de desarrollo o actualizaciones para entornos virtuales. La actividad afectó a varias regiones y empresas, especialmente a las que utilizan máquinas virtuales de forma habitual.
Los expertos instan a las empresas a revisar sus políticas de seguridad y prestar especial atención al control de integridad de las imágenes virtuales y a la monitorización de la interacción entre las máquinas virtuales y los sistemas principales. También recomiendan implantar análisis de comportamiento en entornos virtualizados y comprobar periódicamente las fuentes desde las que se descargan las imágenes de QEMU. La situación demuestra que la virtualización, aunque es útil, no debe considerarse una protección absoluta frente a las amenazas.
PEREC.RU
Los investigadores han descrito un nuevo método de intrusión en el que los atacantes usaban máquinas virtuales QEMU como contenedores para distribuir ransomware de forma encubierta. La virtualización, que suele considerarse una herramienta segura y aislada, se convirtió aquí en una plataforma para ataques ocultos. Las imágenes modificadas se hacían pasar por archivos de trabajo, pero contenían código malicioso invisible para los antivirus estándar. La seguridad del sistema anfitrión se quedaba a ciegas porque no se vigilaba lo que ocurría dentro de la máquina virtual. Los atacantes aprovecharon vulnerabilidades en los mecanismos de comunicación entre el entorno virtual y el sistema principal para sacar el malware de la máquina virtual e iniciar el cifrado de los datos. Al final, las empresas sufrían ataques que parecían parte del uso corriente de herramientas virtuales.
Todo el esquema fue posible por la confianza excesiva en los entornos virtualizados y la falta de control sobre ellos. Se daba por hecho que las imágenes virtuales eran seguras y casi nadie comprobaba qué contenían. Los hackers se aprovecharon y distribuyeron imágenes infectadas como si fueran materiales legítimos. Los expertos recomiendan a las empresas revisar sus métodos de auditoría de máquinas virtuales, reforzar los controles de integridad e implantar la monitorización del comportamiento en entornos aislados. La seguridad virtual resulta menos virtual de lo que parecía: donde hay «aislamiento», siempre aparece alguien dispuesto a saltárselo.
