Prueba ATP: ataques de ransomware y ladrones de información

Muchos de los fabricantes de seguridad consiguieron en la prueba la máxima puntuación de un 35 en protección. Esta puntuación es la suma de los resultados en 10 escenarios reales, 5 de ellos con ransomware y 5 con ladrones de datos. En el caso del ransomware, pueden llegar a obtener 3 puntos en cada escenario y en el de los ladrones de datos, hasta 4 puntos. Con cada acción de defensa, un producto puede ganar medio o un punto entero. El laboratorio describe cada acción en una matriz basada en el estándar MITRE ATT&CK. Lo interesante de la prueba ATP es que, aunque un producto no detecte de inmediato al atacante, puede activar otras acciones de defensa posteriores que detengan el ataque. La prueba muestra exactamente en qué paso lo consiguen o no.

Mientras que muchos productos obtuvieron los 35 puntos máximos para la puntuación en protección, un total de 5 productos tuvieron problemas y perdieron puntos importantes.

Escenarios y técnicas de ataque

En esta prueba ATP se utilizó en los 10 escenarios con Windows una técnica de ataque especial. A continuación encontrará una explicación técnica del ataque.

UAC bypass: El control de cuentas de usuario (User Account Control, UAC) es una función de seguridad de Windows destinada a proteger el sistema operativo frente a cambios no autorizados. Los atacantes pueden eludir el mecanismo UAC para ampliar sus privilegios y ejecutar tareas. En nuestras pruebas implementamos la elusión del UAC haciendo un uso indebido de la interfaz COM IFileOperation para copiar o desplazar archivos con privilegios elevados sin que aparezca una solicitud de permiso UAC. El método funciona iniciando un proceso que ya dispone de privilegios elevados (un proceso con una función auto-elevate), como mmc.exe, el archivo ejecutable de la Consola de Administración de Microsoft, en el caso de esta prueba. A continuación se carga la DLL en un proceso elevado. Nosotros utilizamos este entorno para ejecutar directamente nuestro malware de ataque o instalar un servicio de Windows controlado. 

Los 10 escenarios de prueba

Todos los escenarios de ataque están documentados de acuerdo con los estándares de la base de datos de MITRE ATT&CK. Los diferentes subpuntos, por ejemplo “T1566.001”, aparecen en la base de datos de MITRE para “Techniques” bajo “Phishing: Spearphishing Attachment”. Cada paso de la prueba, por lo tanto, está definido por especialistas y es trazable y comprensible. Además se explican todas las técnicas de ataque y cómo se hace uso del malware en ellas.

Resultados de los productos para usuarios privados en la prueba ATP

En la prueba actual, los expertos en seguridad examinaron 10 productos de AhnLab, Avast, AVG, Avira, Bitdefender, ESET, F-Secure, G DATA, McAfee y Norton. Muchos productos ofrecieron un buen rendimiento y detuvieron a los atacantes en todos los escenarios obteniendo, por tanto, los 35 puntos posibles para su puntuación en protección. 

Los productos de AhnLab, Avast, AVG, Bitdefender, F-Secure, McAfee y Norton detuvieron a todos los atacantes sin excepción en los 10 escenarios. Por ello recibieron los 35 puntos máximos.

Avira detectó y detuvo sin fallo alguno a 9 atacantes. Pero un ladrón de información pudo pasar inadvertido, llevar a cabo su labor y robar los datos. Esto supone una pérdida de 4 puntos, quedándole al final 31 puntos.

ESET tampoco pudo ni detectar ni detener a un ladrón de datos, por lo que perdió los 4 puntos correspondientes. Pero, además, en otro caso no detectó a un ransomware, si bien funcionaron otras medidas de protección y pudo poner fin al ataque. No obstante, esto le supuso a ESET la pérdida de un punto más. Al final le quedaron 30 de los 35 puntos posibles.

G DATA tuvo problemas con un ladrón de información y un ransomware, sencillamente no los detectó y estos pudieron robar los datos en un caso y encriptar el sistema en el otro. Esto supone una pérdida de 7 puntos en el resultado final que fue de 28 puntos.

Para que un producto consiga el certificado “Advanced Certified” de AV-TEST tiene que obtener al menos un 75 por ciento (26,5 puntos) de los 35 puntos máximos. Casi todos los productos lo consiguieron en la prueba ATP de enero y febrero de 2025. G DATA es el único que no recibe un certificado. Si bien alcanzó la puntuación necesaria, los certificados solo se entregan a quienes también han sido certificados en la prueba regular mensual y cumplen sus criterios.

Resultados de los productos para empresa en la prueba ATP

Las soluciones para terminales de empresas demostraron una gran capacidad de defensa contra ransomware y ladrones de datos en la prueba del laboratorio. De los 15 productos examinados, 13 superaron la prueba sin fallos. Detectaron y detuvieron a los 10 atacantes y por eso consiguieron los máximos 35 puntos para su puntuación en protección: AhnLab, Avast, Bitdefender (con ambas versiones), Crowdstrike, Kaspersky (con ambas versiones), Microworld, Qualys, Sophos, Symantec, Trellix y WithSecure.

La solución de Rapid7 no detectó el ransomware en un escenario, por lo que este pudo encriptar el sistema sin obstáculos. Esto le costó los 3 puntos en la valoración. En otra ocasión, con un ladrón de datos, detectó al atacante, pero no pudo bloquearlo. Así que el malware pudo escanear y robar los datos. Esto supuso otra deducción de 3,5 puntos. Al final, Rapid 7 terminó con una puntuación en protección de 28,5 puntos en vez de 35.

La solución de ESET lo tuvo difícil en esta prueba. La defensa fracasó con uno de los ladrones de información, por lo que perdió los datos, así como los 4 puntos posibles. En otros 4 casos, la solución de ESET sí detectó al atacante, pero en un principio solo pudo bloquearlo parcialmente. Los atacantes colaron una DLL de ataque en los sistemas. Eso sí, de ahí no pasaron, puesto que otros mecanismos de defensa detuvieron los ataques por completo. Sin embargo, esto le costó a ESET una deducción de otro punto en cuatro ocasiones. Al final, ESET consiguió 27 de los 35 puntos posibles para la puntuación en protección.

Para que un producto para empresas sea merecedor del certificado “Advanced Approved Endpoint Protection“ tiene que obtener al menos un 75 por ciento (26,5 puntos) de los 35 puntos máximos en la puntuación de protección. Casi todos los productos consiguieron este objetivo. Rapid7 es el único que no recibe un certificado. Si bien alcanzó la puntuación necesaria, los certificados solo se entregan a quienes también han sido certificados en la prueba regular mensual y cumplen sus criterios.

Prueba ATP: escenarios modificados y resultados variables

La prueba ATP utiliza en cada ronda peligrosos ejemplares de ransomware y ladrones de datos. También varían continuamente las técnicas de ataque utilizadas. Esto hace que sea muy interesante la comparación de los resultados de un producto en las diferentes pruebas realizadas a lo largo del año. En la prueba actual, algunos productos tuvieron sus problemas con el malware y la técnica Bypass utilizada. En bastantes casos se detectó el atacante, pero fueron necesarios pasos posteriores para detenerlos. Esto le costó puntos al producto en la prueba, pero, al fin y al cabo, el usuario y la empresa permanecieron protegidos.

Solo en unos pocos casos los productos de seguridad no detectaron a los atacantes o no los detuvieron tras la detección. Las puntuaciones en protección son un reflejo de ello.

Una cosa hay que dejar clara: 7 productos para usuarios privados y 13 soluciones para empresas brillaron en los 10 escenarios de ataque con una defensa perfecta y merecieron recibir el distintivo con la máxima puntuación, además del certificado de la prueba.