Threat Spotlight: Los riesgos empresariales del software pirata

Los empleados que descargan versiones ilegales de software se arriesgan a sufrir brechas de datos y más, ya que la mayoría viene cargada con malware.

Conclusiones

• En el último mes, el SOC de Barracuda detectó múltiples intentos por parte de los usuarios de descargar software pirateado/crackeado.
• El software ilícito conlleva el riesgo de infecciones de malware, robo de credenciales, criptomineros, secuestro de sesiones, compromiso de software, ransomware y más.
• Las señales de advertencia incluyen archivos ejecutables inexplicables, archivos ZIP desde la web guardados en la carpeta de Descargas y pasos de activación manuales.
• El software pirateado o crackeado no puede recibir actualizaciones, por lo que permanecen las brechas de seguridad.

Durante el último mes, las herramientas SOC y los analistas de Barracuda han detectado múltiples instancias de usuarios intentando descargar y activar versiones pirateadas o crackeadas de software e instaladores no autorizados en los terminales corporativos.

El software pirata y crackeado se asocia tradicionalmente con los videojuegos: jugadores que buscan actualizaciones gratuitas, mejoras o hacks especiales. El software pirata se refiere a programas que han sido copiados ilegalmente, mientras que el software crackeado se refiere a programas que han sido modificados para eludir mecanismos de licencia o protección diseñados para prevenir la piratería.

Ambos suponen un riesgo significativo para la empresa. Los empleados que buscan herramientas gratuitas, no oficiales y sin licencia para mejorar la productividad, facilitar el acceso o ahorrar costes pueden convertirse involuntariamente en el punto de entrada de graves incidentes de seguridad.

El riesgo del software malicioso

El software pirata y crackeado es letal. Estudios muestran que hasta el 80% o más de estos programas incluyen contenido malicioso. Para empeorar las cosas, el software no se puede parchear ni actualizar como la versión legítima, por lo que las brechas de seguridad permanecen abiertas.

Cuando los empleados pueden instalar software pirata en los endpoints corporativos, pueden exponer a la organización a infecciones de malware, robo de credenciales, criptomineros, secuestro de sesiones, compromiso de software, ransomware, y más.

Cómo detectar descargas de software pirateado

El SOC detectó múltiples archivos ejecutables sospechosos que aparecían en ubicaciones en las que los usuarios pueden añadir contenido, como las carpetas «Descargas». Los datos también mostraron que los archivos se ejecutaban manualmente poco después de la actividad del navegador, como Chrome o Microsoft Edge, y a menudo a través de explorer.exe.  

Todos estos son indicadores conocidos de que alguien está intentando instalar software pirateado. El SOC neutralizó todos los casos antes de que pudieran establecerse de forma persistente.

No existe tal cosa como una descarga de ejecutable inofensiva

La detección de archivos ejecutables —o binarios— nuevos o inesperados invariablemente significa problemas. El propio análisis de Barracuda encontró que el 87% de los archivos ejecutables entregados por correo electrónico eran maliciosos.

Los datos más recientes del SOC destacan detecciones repetidas de tres tipos de archivo ejecutable: activate.exe, activate.x86.exe y activate.x64.exe.

Estos nombres de archivo son genéricos. Se han elegido deliberadamente para que suenen legítimos y den una apariencia tranquilizadora y rutinaria. Se utilizan con frecuencia en paquetes de software pirateado o crackeado, archivos adjuntos de phishing, instaladores de software falsos y mucho más.

En la mayoría de los casos maliciosos, 'activate.exe' en realidad no activa nada. En su lugar, carga malware, programas de descarga que pueden instalar malware adicional o actúa como un envoltorio para lanzar cargas útiles ocultas.

Las versiones x86 y x64 de los archivos activate.exe ayudan a garantizar una ejecución exitosa en diferentes sistemas Windows.

Estos nombres de archivos se ven a menudo en versiones pirateadas de Microsoft, Adobe y otras herramientas de trabajo.

La bandera roja del comportamiento del usuario

El software pirateado/crackeado requiere interacción manual para instalar y activar el programa, y por extensión, la carga maliciosa. Esta es una buena noticia para los defensores porque, en un entorno informático cada vez más automatizado, cualquier signo de actividad manual relacionada con la descarga de software es un indicador poderoso de software ilegal.

Señales de red que apuntan a la descarga intencionada de un archivo sospechoso:

• El archivo entrante provino de un cliente de torrent (streaming), como BitTorrent.
• Los archivos entrantes provinieron de un sitio web conocido de 'descargas gratuitas' o de cracks.
• El archivo entrante provino de un sitio web para compartir archivos que puede alojar archivos grandes y comprimidos en formato ZIP, RAR o 7z.
• Los archivos se descargaron en paquetes.
• Los archivos se descargaron como archivos ZIP/RAR protegidos por contraseña.

Los proveedores de software legítimos no distribuyen software ni sus herramientas de activación de esta manera.

Comportamientos de usuario que sugieren la instalación y activación de archivos sospechosos:

• Extracción manual de un archivo utilizando Windows Explorer, WinRAR o 7‑Zip
• Crear o añadir contenido a las carpetas de Descargas o Documentos\Software
• Abrir archivos uno por uno en lugar de que todo se ejecute automáticamente
• Hacer clic en sí en los mensajes emergentes o ejecutar archivos manualmente

El software pirateado/crackeado generalmente requiere actividad manual paso a paso.

Los equipos de seguridad de TI también pueden detectar intentos de bloquear las verificaciones de licencias.

En resumen, si el equipo de seguridad detecta activate.exe junto con descargas manuales, carpetas de crack extraídas, archivos de instrucciones, aprobación de administrador y cambios para eludir la licencia, es muy probable que el usuario haya intentado intencionadamente instalar software pirateado/crackeado.

Qué hacer si detecta software pirateado/crackeado

Cómo limpiar la red de software ilegal malicioso:

• Elimine el software pirata/crackeado y los archivos activadores. Borre el instalador, el crack, el keygen y las carpetas extraídas.
• Desinstale la aplicación afectada y, si es necesario, vuelva a instalarla desde una fuente aprobada y con licencia.
• Ejecute un escaneo completo de malware: el software pirata a menudo incluye extras no deseados como programas para robar información, aunque la intención inicial fuera la piratería.
• Deshacer los cambios de omisión de licencias.
• Reinstale o reconstruya el dispositivo si se cumple alguna de las siguientes condiciones:
• Antivirus o detección y respuesta en el endpoint (EDR) detectaron malware adicional.
• Se reemplazaron los archivos de sistema o los binarios de la aplicación principal.
• No puede deshacer con confianza todos los cambios realizados por el crack.
• El usuario desactivó los controles de seguridad (antivirus, EDR, firewall).

Conclusión

Para proteger tanto a los empleados como a los activos del daño que puede causar el software pirateado o crackeado, las organizaciones pueden tomar las siguientes medidas:

• Aplicar medidas de protección de endpoints para bloquear automáticamente ejecutables desconocidos o no autorizados en tiempo real, incluso cuando se lanzan manualmente.
• Restringir los derechos de administrador local y requerir aprobación para todas las instalaciones de software.
• Implemente el control de aplicaciones para permitir que solo el software aprobado se ejecute en dispositivos corporativos.
• Monitorizar la aparición de archivos ejecutables en carpetas en las que los usuarios pueden guardar contenido, como las carpetas de Descargas y Temp.
• Combine controles técnicos con políticas claras de uso aceptable y formación en concienciación de seguridad para reducir comportamientos de alto riesgo.