En los \u00faltimos a\u00f1os, los archivos dise\u00f1ados mediante t\u00e9cnicas de creaci\u00f3n de archivos pol\u00edglotas se utilizan cada vez con m\u00e1s frecuencia en ciberataques. Les permiten a los atacantes eludir los filtros de correo electr\u00f3nico y los esc\u00e1neres de archivos para introducir malware, enga\u00f1ar a las v\u00edctimas mediante ataques de phishing y dificultar la investigaci\u00f3n de incidentes.<\/p>\n
Para lograrlo, los atacantes crean deliberadamente un archivo que el sistema puede interpretar como diferentes formatos dependiendo de la aplicaci\u00f3n que lo abra. Un ejemplo cl\u00e1sico es un archivo que puede tratarse como una imagen PNG o como un archivo ZIP. Basta con cambiar la extensi\u00f3n del archivo o, simplemente, utilizar una u otra aplicaci\u00f3n para abrirlo.<\/p>\n
Veamos por qu\u00e9 es posible crear este tipo de archivos, qu\u00e9 combinaciones de formatos se han utilizado en ataques reales y c\u00f3mo pueden protegerse las organizaciones frente a esta amenaza.<\/p>\n
Los formatos de datos que hay detr\u00e1s de los archivos pol\u00edglotas rara vez son poco comunes. Todo se reduce a una combinaci\u00f3n ingeniosa de formatos habituales que, casualmente, son estructuralmente compatibles. Los archivos poliglotas aprovechan al menos una de las siguientes peculiaridades de ciertos formatos de archivo:<\/p>\n
En el repositorio de Polydet<\/a> en GitHub, se describen numerosos ejemplos de posibles combinaciones de archivos para crear un archivo pol\u00edglota. Seg\u00fan la clasificaci\u00f3n de MITRE, esta t\u00e9cnica pertenece a la categor\u00eda \u201cMasquerading\u201d (T1036.008<\/a>, Masquerade File Type).<\/p>\n Los an\u00e1lisis de campa\u00f1as de malware disponibles p\u00fablicamente revelan el uso de todo tipo de archivos pol\u00edglotas. Los atacantes adaptan todo el esquema del ataque a una combinaci\u00f3n espec\u00edfica de tipos de archivo.<\/p>\n El grupo Head Mare distribuy\u00f3 el malware PhantomPyramid<\/a> como archivo ZIP adjunto. El archivo conten\u00eda c\u00f3digo ejecutable de Windows (EXE) y un peque\u00f1o archivo comprimido ZIP a\u00f1adido al final. Cuando la v\u00edctima lo abr\u00eda, encontraba un archivo comprimido con la extensi\u00f3n PDF.LNK que, al ejecutarse, iniciaba el mismo adjunto pol\u00edglota, pero esta vez como ejecutable.<\/p>\n En el ataque documentado por JPCERT<\/a>, los atacantes crearon un archivo que comenzaba como PDF y que la mayor\u00eda de los esc\u00e1neres detectaban como tal, pero ten\u00eda la extensi\u00f3n DOC, y las aplicaciones de Office lo abr\u00edan como un documento DOC v\u00e1lido que inclu\u00eda macros maliciosas.<\/p>\n Los ataques que propagaban los troyanos StrRAT y Ratty<\/a> utilizaban un archivo pol\u00edglota creado a partir de un paquete de instalaci\u00f3n de Windows firmado (MSI), al que se le hab\u00eda a\u00f1adido c\u00f3digo Java malicioso (JAR) al final.<\/p>\n Los ataques de StrelaStealer<\/a> utilizaban un archivo pol\u00edglota con extensi\u00f3n HTML: una biblioteca de Windows (DLL) a la que se le hab\u00eda a\u00f1adido al final un documento HTML se\u00f1uelo. Un acceso directo incluido en el archivo comprimido ejecutaba el archivo dos veces: una mediante el comando start (el equivalente a hacer doble clic, que abr\u00eda un navegador y mostraba el documento HTML) y otra mediante rundll32 (que ejecutaba la DLL maliciosa).<\/p>\nEjemplos de archivos pol\u00edglotas utilizados en ciberataques conocidos<\/h2>\n