Ofuscación (software)

El siguiente ejemplo ilustra una ofuscación sencilla del código fuente. Ambos programas imprimen el mismo resultado, pero la segunda versión es intencionadamente más difícil de entender.

Borrar código:

#include <stdio.h>int main ( void ) { int x = 5 ; int y = 7 ; printf ( "%d \n " , x + y ); return 0 ; }

Código ofuscado:

#include <stdio.h> int main (){ int _ = 5 , __ = 7 ; printf ( "%d \n " , _ -~ __ -1 );}

En la versión ofuscada, se eliminan los nombres de variables significativos y las expresiones aritméticas se reescriben de forma menos legible, conservando al mismo tiempo el comportamiento del programa.

El cifrado XOR y la codificación Base64 son dos métodos comunes que se utilizan para ocultar el malware a los antivirus . Ambos funcionan modificando la apariencia del código malicioso en su archivo, lo que impide que el software de seguridad reconozca patrones peligrosos.

En la ofuscación XOR, un atacante elige una clave secreta y aplica la operación XOR bit a bit al binario del malware. Esto transforma el ejecutable en lo que parece datos aleatorios. Los nombres de las funciones en la tabla de importación desaparecen, los encabezados PE se corrompen y todo el archivo pierde su estructura. La carga útil ofuscada se incrusta en un dropper , que es un ejecutable de apariencia normal que contiene el malware oculto como una sección de recursos o datos. Cuando un usuario ejecuta el dropper, este realiza la operación XOR nuevamente con la misma clave para reconstruir el malware original, y luego lo ejecuta directamente desde la memoria o lo escribe en el disco antes de ejecutarlo. ^{[ 13 ]}

Este proceso elimina varios indicadores en los que se basa el software antivirus. El encabezado MZ ( la firma ‍de‍ 2 bytes "MZ" que marca el inicio de cada ejecutable de Windows ‍)‍ queda completamente oculto por la operación XOR. Los programas de seguridad suelen buscar esta firma de dos bytes al buscar ejecutables incrustados. La codificación Base64 logra resultados similares mediante un método diferente: convierte los datos binarios en texto ASCII , de modo que un archivo ejecutable termina pareciendo texto plano (en lugar de un programa).

Una investigación realizada en la Competencia de Evasión de Seguridad mediante Aprendizaje Automático de 2020 demostró que estos métodos pueden eludir los sistemas de detección modernos. Los participantes utilizaron combinaciones de codificación XOR, codificación Base64 e inserción de código muerto para evadir los tres modelos de la competencia con menos de cinco intentos por muestra. La detección basada en entropía también falló, y en algunos casos la codificación Base64 incluso redujo la entropía en comparación con los archivos de malware originales. ^{[ 14 ]}

La simplicidad de estas técnicas es lo que las hace particularmente peligrosas. La codificación XOR y Base64 solo requiere conocimientos básicos de programación para su implementación, pero han demostrado ser eficaces contra clasificadores avanzados de aprendizaje automático . Esto ha impulsado a los investigadores de seguridad a desarrollar nuevas defensas, incluyendo herramientas automatizadas de recuperación de claves XOR y un análisis más profundo de los recursos incrustados en archivos ejecutables.

Existen diversas herramientas para realizar o facilitar la ofuscación de código. Entre ellas se incluyen herramientas de investigación experimental desarrolladas por académicos, herramientas para aficionados, productos comerciales escritos por profesionales y software de código abierto . Además, existen herramientas de desofuscación, cuyo objetivo es revertir el proceso de ofuscación.

Si bien la mayoría de las soluciones comerciales de ofuscación transforman el código fuente del programa o el código de bytes independiente de la plataforma, es decir , el código portátil (como el que utilizan Java y .NET ), algunas también funcionan directamente con binarios compilados.

• Algunos ejemplos de Python se pueden encontrar en las preguntas frecuentes oficiales sobre programación en Python y en otros lugares. ^{[ 15 ] [ 16 ] [ 17 ]}
• El compilador C movfuscator para la ISA x86_32 utiliza únicamente la instrucción mov para ofuscar. ^{[ 18 ] [ 19 ] [ 20 ]}

Escribir y leer código fuente ofuscado puede ser todo un desafío mental . Varios concursos de programación premian el código ofuscado más creativo, como el Concurso Internacional de Código C Ofuscado y el Concurso de Código Perl Ofuscado .

Los programas Perl cortos y ofuscados pueden usarse en las firmas de los programadores Perl, conocidos como JAPH (" Just another Perl hacker "). ^{[ 21 ]}

Los criptógrafos han explorado la idea de ofuscar el código de manera que la ingeniería inversa del mismo sea criptográficamente difícil. Esto se formaliza en las numerosas propuestas de ofuscación de indistinguibilidad , una primitiva criptográfica que, de ser posible construirla de forma segura, permitiría construir muchos otros tipos de criptografía, incluyendo tipos completamente nuevos que nadie sabe cómo crear. (Se sabe que una noción más fuerte, la ofuscación de caja negra , es imposible en general). ^{[ 22 ] [ 23 ]}

Algunos programas antivirus, como AVG AntiVirus [ ^{25 ] ,} alertan a sus usuarios cuando acceden a un sitio web con código ofuscado manualmente, ya que uno de los propósitos de la ofuscación es ocultar código malicioso. Sin embargo, algunos desarrolladores pueden emplear la ofuscación de código para reducir el tamaño de los archivos o aumentar la seguridad. El usuario promedio no espera que su antivirus le alerte sobre un fragmento de código inofensivo, especialmente si proviene de empresas de confianza, por lo que esta función podría disuadir a los usuarios de usar software legítimo.

Mozilla y Google no permiten extensiones de navegador que contengan código ofuscado en sus tiendas de complementos ( Firefox y Chrome , respectivamente). ^{[ 26 ] [ 27 ]}

Se ha debatido si es ilegal eludir las licencias de software copyleft mediante la publicación de código fuente ofuscado, como en los casos en que el autor no está dispuesto a hacerlo público. La Licencia Pública General de GNU aborda esta cuestión exigiendo que se ponga a disposición la «forma preferida para realizar modificaciones». ^{[ 28 ]} El sitio web de GNU afirma: «El "código fuente" ofuscado no es código fuente real y no se considera código fuente». ^{[ 29 ]}