Un troyano es un programa que parece útil y esconde una función maliciosa: al abrirlo, da al atacante el control del equipo. Los bancarios roban las claves del banco y los de acceso remoto lo manejan todo. Casi siempre entra porque alguien lo instala creyendo que es otra cosa.
Foto: Mehmet, en Pexels
El nombre viene del caballo de Troya, y la idea es la misma: algo que entra por la puerta grande porque parece un regalo. Un troyano no fuerza la entrada; consigue que alguien lo instale creyendo que es un programa útil, una factura o un burofax. Esta guía explica qué es, qué tipos describen las fuentes oficiales, cómo llega y qué pueden hacer el antivirus y el cortafuegos.
El glosario del NIST lo define como un programa que aparenta tener una función útil pero también tiene una función oculta y potencialmente maliciosa, que se salta los mecanismos de seguridad, a veces aprovechando los permisos legítimos de quien lo ejecuta. INCIBE lo explica en palabras más llanas: se presenta como software legítimo, pero al ejecutarlo permite al atacante tomar el control del dispositivo infectado, y desde ese momento toda la información del equipo queda a su merced.
Es un tipo de malware, y su diferencia con el gusano es clara en la descripción de INCIBE: el gusano se copia solo de un ordenador a otro, mientras que el troyano necesita que alguien lo abra.
Por lo que hacen una vez dentro, las fichas de INCIBE distinguen sobre todo estos:
| Tipo | Qué hace | Ejemplo de INCIBE |
|---|---|---|
| Troyano bancario | Roba las credenciales de la banca en línea y el dinero de las cuentas. | RTM, en equipos Windows de empresas; el del falso burofax. |
| Troyano de acceso remoto (RAT) | Deja al atacante manejar el dispositivo a distancia. | Cerberus, en móviles Android. |
| Descargador (dropper) | Parece inofensivo y su trabajo es bajar e instalar otro malware. | El troyano del burofax, identificado como Trojan Downloader o Dropper. |
En la práctica se mezclan. La ficha de INCIBE sobre RTM, un troyano bancario que se centra en empresas, enumera lo que hace en el equipo: vigila los navegadores en busca de webs de banca en línea, registra las teclas que se pulsan y el portapapeles, hace capturas de pantalla y vídeo cuando detecta actividad bancaria, cambia el archivo hosts del equipo, descarga otros programas maliciosos y envía lo robado a sus servidores de mando y control. Además, abre una puerta trasera que mete el equipo en una botnet para otros ataques.
El caso de Cerberus muestra hasta dónde llega un RAT en un móvil: según INCIBE, hace capturas y grabaciones de audio, registra lo que se escribe, envía y borra SMS, sigue la ubicación, desactiva Play Protect y superpone una pantalla falsa sobre la aplicación del banco para pedir las claves. También intercepta los códigos que llegan por SMS y los de Google Authenticator, de modo que la autenticación de doble factor no basta si el troyano ya está en el mismo teléfono.
Casi siempre por ingeniería social. Estas son las vías que aparecen en los avisos de INCIBE:
Por eso INCIBE insiste en que la mínima duda con un correo es motivo para pararse: las notificaciones oficiales se consultan desde la web oficial del organismo, nunca desde el enlace del mensaje (lo cuenta también la guía del phishing).
El cortafuegos interviene en dos momentos: cuando el troyano llega y cuando, ya dentro, intenta hablar con su dueño.
Esto es criterio de esta web: esta segunda barrera es la que más se olvida y la que salva más casos. El troyano que se coló por un USB o en un archivo cifrado sigue necesitando la red para sacar los datos, y un cortafuegos que vigila el tráfico de salida es el sitio donde se le puede cortar. Pero el cortafuegos no ve lo que pasa dentro del ordenador ni del móvil, y un móvil que navega con datos fuera de la oficina ni siquiera pasa por él. Para eso están el antivirus de cada equipo y, en la empresa, un EDR.
Los consejos de INCIBE en sus avisos sobre troyanos son estos:
Esto es criterio de esta web: el cuarto punto es el que más protege en una empresa pequeña. Un troyano que se ejecuta con una cuenta sin permisos de administrador tiene mucho más difícil instalarse a fondo en el equipo, y eso no cuesta nada.
Para el troyano del burofax, INCIBE indica: si has descargado el archivo, bórralo sin ejecutarlo; si ya lo has ejecutado, analiza todo el equipo con el antivirus y sigue sus instrucciones para eliminarlo. La ficha de RTM añade que las principales firmas de antivirus ya lo detectan y eliminan. Su guía de desinfección pide, además, desconectar el equipo de la red mientras tanto y, al terminar, cambiar las contraseñas de todas las cuentas que se usaban en él, porque pueden haber quedado expuestas.
Para cualquier duda, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.
Un programa que aparenta tener una función útil pero esconde otra maliciosa, según la definición del NIST. INCIBE lo describe como un virus que se presenta como software legítimo y que, al ejecutarlo, permite al atacante tomar el control del dispositivo.
En el lenguaje de todos los días se le llama virus troyano, y el propio INCIBE lo incluye entre los tipos de virus. En sentido estricto es un tipo de malware que, a diferencia del gusano, no se copia solo: necesita que alguien lo ejecute creyendo que es otra cosa.
Un troyano pensado para robar las credenciales y el dinero de la banca en línea. INCIBE describe casos como RTM, que ataca equipos Windows de empresas, registra lo que se teclea, hace capturas de pantalla cuando detecta la web del banco y envía los datos a los servidores del atacante.
Un troyano de acceso remoto (Remote Access Trojan). Deja al atacante manejar el dispositivo infectado a distancia. INCIBE cita a Cerberus, un troyano bancario para Android que, además, hace capturas, registra lo que se escribe, lee los SMS y captura los códigos de Google Authenticator.
Un cortafuegos con antivirus de pasarela puede parar los troyanos conocidos cuando se descargan por la red, y uno con servicio contra botnets puede cortar la conexión del equipo infectado con los servidores del atacante. No ve lo que se instala desde un USB ni lo que llega cifrado sin inspección, así que el antivirus del equipo sigue haciendo falta.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
