Suma expertos en ciberseguridad a tu arsenal
The Huntress Managed Security Platform fue diseñada para detectar mecanismos de persistencia e identificar y expulsar a los actores de amenazas de tus entornos. Comienza hoy tu prueba gratuita.
Persistencia en ciberseguridad
Descubre qué es la persistencia en ciberseguridad, incluidos los mecanismos comunes de persistencia del malware y las amenazas persistentes avanzadas (APT).
Este artículo forma parte de The Defender's Handbook:
Una base de conocimientos para que los apasionados de la ciberseguridad amplíen sus conocimientos, un artículo a la vez.
Introducción
La persistencia se ha convertido en una táctica de ataque preferida para los actores de amenazas actuales.
A medida que los hackers han perfeccionado sus técnicas, se han vuelto más sigilosos, asegurándose de poder acechar en el entorno que buscan el tiempo que necesiten para cumplir su misión. Mientras que otros ataques, como el ransomware, son ruidosos y evidentes, la persistencia permite a los atacantes mantenerse ocultos, a menos que los defensores sepan qué buscar.
Sigue leyendo para conocer:
- Cómo la persistencia habilita el malware, y cómo los defensores pueden usar la persistencia para eliminar el malware
- Las diferencias clave entre la persistencia y las amenazas persistentes avanzadas (APT)
- Dónde se ubica la persistencia en la cadena de eliminación cibernética
- Mecanismos comunes de persistencia
- Cómo se ve la persistencia
Qué es y cómo funciona
¿Qué es la persistencia en ciberseguridad?
La persistencia habilita el malware al permitir que el malware siga ejecutándose, todo mientras el atacante permanece sin ser detectado.
La persistencia en ciberseguridad ocurre cuando un actor de amenazas mantiene discretamente acceso a largo plazo a los sistemas a pesar de interrupciones como reinicios o cambios de credenciales. Los actores maliciosos pueden colocar un implante o un "stub" que evade las soluciones antivirus automatizadas y da inicio a más malware. Este malware suele estar oculto en carpetas de inicio legítimas o dentro de tareas programadas y servicios, lo que dificulta encontrarlo.
Después de reiniciar tu sistema o de cerrar sesión y volver a iniciarla, el stub o el malware se activa de nuevo para ejecutarse. En otras palabras, la persistencia permite que los hackers que obtienen acceso a tus entornos lo conserven, muchas veces sin que sepas que tienen acceso en primer lugar.
La persistencia se puede usar para mantener el malware en ejecución, y para propagar otro malware si así lo deciden. Los atacantes pueden usar malware persistente para mantener el acceso a una red mientras buscan los datos que quieren robar. A veces también usan malware persistente para realizar otros tipos de actividad turbia, como fraude por clics o cryptojacking.
Detección de malware
Por suerte, la persistencia puede ayudar a los defensores a detectar malware. Cuando los defensores encuentran la persistencia, pueden eliminarla, cortando el acceso del actor de amenazas y deteniendo a los atacantes a tiempo. Es importante notar que detectar malware es solo una solución temporal para el problema más grande: la persistencia. Si los defensores no encuentran la persistencia en el entorno, los actores de amenazas simplemente pueden volver a poner en circulación el malware. La detección de malware trata un síntoma sin abordar el problema de raíz. Por eso es fundamental encontrar y eliminar la persistencia.
Ataques habilitados por persistencia: un análisis técnico a fondo
Dónde vive la persistencia en la cadena de eliminación cibernética
Por lo general, la persistencia se ubica en la mitad de la cadena de eliminación cibernética. Después de que los hackers obtienen acceso a un entorno, su objetivo es mantener ese acceso sin ser detectados. A continuación, las cinco etapas principales de la cadena de eliminación cibernética.
Objetivo: reunir la mayor cantidad de información posible.
Este paso es fundamental para consolidar la "misión" de un ataque. Cualquier información recopilada, ya sean vulnerabilidades específicas para explotar o usuarios a quienes hacer phishing, puede ser aprovechada por el adversario para apoyar otras fases de su flujo de trabajo.
¿Cuáles son los mecanismos comunes de persistencia de malware?
MITRE ATT&CK®, que recopila información sobre las tácticas de adversarios según lo que se observa en el mundo real, ha identificado 19 mecanismos de persistencia de malware conocidos que los atacantes usan para merodear sin ser detectados en los entornos. De esos, solemos ver que los hackers establecen persistencia de una de tres maneras:
Este mecanismo común de persistencia de malware implica que un hacker abuse de un proceso legítimo del sistema operativo, por ejemplo, un reinicio del sistema o un inicio de sesión. Un hacker logra la persistencia al agregar una entrada a las claves de ejecución en el Registro de Windows o en la carpeta de inicio. Como resultado, cualquier programa referenciado se ejecutará cuando un usuario inicie sesión.
Cómo se ve la persistencia
Supongamos, por ejemplo, que un atacante logra comprometer un sistema y crea una tarea programada que ejecuta automáticamente el siguiente comando cada vez que la máquina se inicia:cmd /c “start /b
Esto inicia un nuevo símbolo del sistema en segundo plano.c:\ProgramData\48756e74.bat”
Esta es la ubicación del archivo por lotes que se ejecutará. A simple vista, es fácil centrarse en la segunda mitad de este comando; claramente se está llamando a un archivo de aspecto muy inusual. Abramos el archivo para ver qué contiene:net user eviluser “myEvilPassword” /ADD
net localgroup administrators eviluser /ADD
Este archivo por lotes agrega una nueva cuenta de puerta trasera con privilegios administrativos. En este caso, el desafío que enfrentaría una herramienta de seguridad automatizada sería validar la intención maliciosa de esta tarea programada, y eso beneficia al atacante. Muchas herramientas preventivas requieren un alto grado de confianza de que está ocurriendo actividad maliciosa antes de intervenir. Crear un nombre de usuario y una contraseña a través de un símbolo del sistema podría ser, en realidad, una tarea administrativa legítima. Por lo tanto, la mayoría de los productos de seguridad permitirán que la acción continúe para evitar una posible interrupción para el usuario final. Mientras tanto, el atacante puede esconderse sigilosamente en los puntos ciegos del software. Por eso la persistencia es el mejor aliado de un atacante. Proporciona un acceso secreto de puerta trasera que permanece oculto dentro de las partes existentes de un sistema operativo.
¿Pueden las herramientas de seguridad encontrar y eliminar la persistencia?
Muchas empresas que producen herramientas de seguridad afirman que pueden encontrar y eliminar la persistencia mediante inteligencia artificial (IA) y automatización. El problema es que la persistencia, por diseño, es sigilosa para pasar desapercibida. A menudo logra esto mediante formas de ofuscación o técnicas de evasión que las herramientas automatizadas no detectan.
Los humanos, en cambio, tienen la conciencia contextual para notar cuando algo no parece correcto. Por eso, la caza de amenazas combina tecnología innovadora con inteligencia humana para identificar ataques que las herramientas de seguridad automatizadas por sí solas pasan por alto. Los analistas del SOC y la tecnología innovadora son el dúo dinámico que puede encontrar y eliminar la persistencia.
Más información sobre ¿Qué es Threat Hunting impulsado por humanos?
¿Qué es Threat Hunting impulsado por humanos?
Blog
Más información sobre Huntress Persistent Footholds
Huntress Persistent Footholds
Product
Más información sobre ¡Llegó el soporte para macOS!
¡Llegó el soporte para macOS!
Blog
Más información sobre Análisis del Informe de Ciberamenazas 2025 de Huntress
Análisis del Informe de Ciberamenazas 2025 de Huntress
Report
Más información sobre Informe de Huntress sobre ciberamenazas 2025
Informe de Huntress sobre ciberamenazas 2025
Report
