¿Qué son los "droppers", programas que facilitan los ciberataques?

Piedra angular de numerosas ciberataques, los "droppers" fueron el principal objetivo de la gran operación policial de Europol contra programas maliciosos anunciada este jueves, que provocó numerosas detenciones y la desconexión de un centenar de servidores.

Estos programas, poco conocidos por el gran público, facilitan los ciberataques a empresas, autoridades e instituciones nacionales, ocasionando daños por cientos de millones de euros. Pero, ¿en qué consisten?

¿Qué es un "dropper"?

Un "dropper" es un software cuya función principal es "abrir la puerta a otros programas maliciosos", explica a AFP Jérôme Saiz, experto en ciberseguridad y fundador de la empresa OPFOR Intelligence.

"No es él quien realiza la acción maliciosa", precisa.

Pequeño, ligero, diseñado para pasar desapercibido y engañar a los antivirus, este software puede llegar al ordenador de un usuario que hace clic en una publicidad maliciosa, navega sin darse cuenta por un sitio malicioso o descarga una aplicación legítima que lo esconde.

Los "droppers" también pueden ser depositados en un ordenador a través de correos electrónicos con enlaces infectados o archivos adjuntos de Word y PDF, indica la agencia judicial europea Eurojust.

"Es en el momento de la instalación del software cuando se desencadena la carga viral" y se "abre la muñeca rusa", detalla Jean-François Beuze, presidente de la empresa de ciberseguridad Sifaris.

¿Cómo funciona?

Una vez instalado, el "dropper abre el campo de posibilidades a los piratas", subraya Jérôme Saiz.

Puede ser autónomo, con sus propios programas maliciosos incorporados, o puede buscar programas maliciosos en internet, facilitar su instalación y activación.

Puede tratarse de un "ransomware" o programa chantajeador, que explota vulnerabilidades de seguridad de una empresa o individuo para cifrar y bloquear sus sistemas informáticos, exigiendo un rescate para desbloquearlos.

Pero algunos "droppers" son capaces incluso de utilizar el ordenador infectado para "minar" bitcoins, es decir, validar transacciones en criptomoneda, sin que el propietario lo sepa. O descifrar contraseñas.

En el caso de la operación de Europol, los "droppers" desactivados estaban asociados a al menos 15 grupos de ransomware, algunos de los cuales se han utilizado para extorsionar a hospitales y centros de salud en Estados Unidos durante la pandemia de covid-19.

"Los atacantes hacen esto porque les permite, con un solo y pequeño software, instalar de manera muy modular y granular lo que quieren", continúa.

Cumplida su misión, el "dropper" puede "eliminarse totalmente de tu ordenador", señala Jean-François Beuze.

¿Cómo protegerse?

Las grandes empresas tienen sistemas de detección de actividades maliciosas bastante avanzados, especialmente con inteligencia artificial, que les permiten protegerse contra los "droppers". Pero es mucho más complicado para las pequeñas empresas, señala Beuze.

Ambos expertos celebran así la operación de Europol que ha permitido desestabilizar un ecosistema criminal difícil de abordar.

"La red de droppers es una parte de la infraestructura que facilita las operaciones de muchos grupos de cibercriminales", destaca Jérôme Saiz.

Al atacar esta herramienta, las fuerzas del orden "crean un efecto de palanca" que "corta las alas a los atacantes con la máxima flexibilidad", concluye.