Malware y EDR
Malware es uno de los seis tipos de ataque del duelo de cartas, y EDR es la defensa que lo contrarresta. Aquí encontrarás qué representan en la seguridad real, cómo se enfrentan en el juego y todas sus 25 cartas.
El ataque: Malware
Malware es el nombre de todo el software malicioso: troyanos, gusanos, ransomware, keyloggers, rootkits, spyware. Una vez en ejecución en un ordenador puede robar datos, cifrar los archivos para pedir un rescate, abrir un acceso oculto o propagarse a otras máquinas. A menudo llega como un adjunto o una descarga aparentemente inofensivos, o lo instala un atacante tras un primer acceso.
La defensa: EDR
EDR (Endpoint Detection and Response) es la evolución del antivirus: en lugar de buscar solo las firmas del malware conocido, observa el comportamiento de los programas en cada ordenador y servidor (procesos que cifran miles de archivos, conexiones sospechosas, cambios en el sistema) y puede aislar la máquina o detener el proceso. Junto con el antivirus y el trabajo de un SOC es la defensa principal contra el malware.
Quién frena a quién
- EDR contra Malware: la mitad de daño. El malware tiene que ejecutarse en un ordenador, y es justo ahí donde el EDR observa su comportamiento y lo bloquea.
- Malware contra Formación: daño doble. Una vez en ejecución el malware actúa y se propaga solo: ya no pide permiso a nadie.
- Malware contra Firewall: daño doble. El malware ya está dentro de la red y se comunica por puertos permitidos, mezclado con el tráfico web normal.
- Escaneo contra EDR: daño doble. El EDR vigila los programas de los ordenadores, mientras que el escaneo llega desde fuera e interroga los servicios de red.
- DDoS contra EDR: daño doble. Una oleada de tráfico no ejecuta ningún programa en los ordenadores: para el EDR no hay nada que bloquear.
En todas las demás combinaciones el daño es normal.
Los combos con Malware
- Entrega (Phishing → Malware, +2 de daño): el mensaje cebo mete dentro el malware, como en la mayoría de las infecciones reales.
- Escalada (Exploit → Malware, +2 de daño): un fallo aprovechado abre el camino a la instalación del malware.
- Persistencia (Malware → Malware, +1 de daño): un malware ya instalado descarga y esconde otros.
Cartas de ataque Malware (19)
Trojan
Un programa que parece inofensivo pero le abre la puerta al atacante.
Keylogger
Registra cada tecla pulsada. Durante 2 turnos el rival pierde 1 de integridad al inicio de su turno.
Worm
Malware que se propaga solo de máquina en máquina. Te hace robar una carta.
Backdoor
Un acceso oculto dejado en el sistema. Durante 3 turnos el rival pierde 1 de integridad al inicio de su turno.
Cryptojacking
El rival tiene 1 de ancho de banda menos durante 2 turnos.
Rootkit
Durante 4 turnos el rival pierde 1 de integridad al inicio de su turno.
Malware sin archivos
Vive solo en la memoria y no escribe archivos en disco, así que los antivirus por firmas apenas lo ven. Las defensas rivales en juego pierden todas sus habilidades mientras sigan en juego.
Ransomware como servicio
Ransomware de alquiler: desarrolladores y afiliados se reparten el rescate. Además, 2 de daño directo al core; durante 3 turnos, al inicio del turno las defensas rivales pierden 1 de resistencia.
Beaconing
El malware llama a su servidor de mando a intervalos regulares: esa misma regularidad lo delata en los registros. Durante 2 turnos el rival pierde 1 de integridad al inicio de su turno.
Evasión del EDR
Técnicas para no ser visto por el sensor del endpoint: contra ellas hace falta un EDR que vigile los comportamientos, no solo las firmas. La defensa rival más débil pierde 2 de resistencia.
Ransomware
Cifra los archivos y pide un rescate. También golpea el core directamente.
Infostealer
Un malware que se lleva las contraseñas y cookies guardadas en el navegador. Se contrarresta con MFA, sesiones cortas y sin contraseñas en el navegador. Robas una carta.
Doble extorsión
Además de cifrar los datos, se copian y se amenaza con publicarlos. Se prepara con copias desconectadas y datos cifrados en reposo. Además, 2 de daño directo al core y el rival descarta 1 carta al azar.
Gusano autopropagado
Se extiende solo por toda la red interna aprovechando un fallo sin corregir: la segmentación y los parches lo frenan. 2 de daño a todas las defensas del rival y 2 de daño directo al core.
Sabotaje SCADA
Un malware altera los controladores de una planta mientras los paneles muestran valores normales. Se evita con redes OT segregadas y firmware verificado. Ignora las contramedidas y hace 2 de daño a todas las defensas del rival.
Wiper
El rival descarta 2 cartas al azar.
Rootkit de kernel
Malware que se anida en el corazón del sistema operativo y apaga lo que debería vigilarlo. Disuelve un hechizo del rival (el más caro) y la defensa rival más fuerte pierde 1 de resistencia.
Dependency confusion
Un paquete público con el mismo nombre que uno interno se instala en su lugar. Se evita con registros privados con prioridad y versiones fijadas. Durante 4 turnos el rival pierde 1 de integridad al inicio de su turno; además, 1 de daño a todas sus defensas.
Implante en el firmware
Un programa escondido en el firmware sobrevive a las reinstalaciones y a los cambios de disco. Se evita con arranque seguro y firmware firmado y medido. Durante 4 turnos el rival pierde 1 de integridad al inicio de su turno; sus defensas en juego pierden todas sus habilidades.
Cartas de defensa EDR (6)
Antivirus
Reconoce el malware conocido por sus firmas.
Sandbox
Regenera: +1 de resistencia al inicio del turno.
Sala de backup
Un local protegido donde las copias de los datos esperan a ser restauradas. Cura el core: +1 de integridad al inicio del turno.
Copia de seguridad inmutable
Una copia que ni siquiera un administrador comprometido puede borrar o cifrar: el antídoto contra el ransomware. Cura el core: +1 de integridad al inicio del turno. Regenera: +1 de resistencia al inicio del turno.
EDR
Endpoint Detection & Response: observa los comportamientos y bloquea incluso malware nuevo.
XDR
Regenera: +2 de resistencia al inicio del turno.
Para aprender la parte técnica están los laboratorios simulados: