Hoy en día con el aumento de tráfico en la web y los intentos cada vez más evidentes de poder obtener información de los usuarios usando diferentes técnicas como el robo de datos, instalación de software maligno en nuestros equipos, un gran olvidado es la navegación que hacemos por sitios webs que pueden estar infectados. La popular herramienta VirusTotal ha incorporado recientemente una nueva función para analizar en detalle las webs, en este artículo os vamos a explicar todos los modos de funcionamiento de esta gran herramienta.
Cuando entramos en VirusTotal nos ofrece tres opciones de análisis que vamos a ver en profundidad. La primera es FILE, sirve para que podamos subir un fichero que pensemos o tengamos miedo de que esté infectado, donde los servidores de virus total lo analizaran. Tenemos que tener en cuenta que VirusTotal funciona desde cualquier navegador y sistema operativo, tan solo es necesario tener conexión a Internet para subir los diferentes archivos que queremos analizar.
Ventajas y desventajas de VirusTotal
Una de las grandes ventajas de esta herramienta, es el uso de múltiples motores. El servicio da uso de más de 70 motores de antivirus diferentes, lo cual les permite detectar una gran gama de malware y amenazas que podrían no llegar a ser identificados por un solo antivirus. Por otro lado, cuenta con actualizaciones constantes. Esto hace que las bases de datos se mantengan prácticamente al día, por lo cual es un servicio muy fiable a la hora de encontrar este tipo de problemas. Lo cual se suma a su funcionamiento, el cual resulta rápido y muy accesible. Esto es porque es un servicio gratuito, y es accesible en Internet de forma generalizada. Permitiendo a los usuarios obtener un resultado rápido y sin necesidad de instalar ningún tipo de software adicional.
Por otro lado, cuenta con una gran comunidad y sección de comentarios. Aquí los usuarios buscan dejar comentarios y compartir sus experiencias o hallazgos al utilizar el servicio. Por lo cual es una gran fuente de información adicional y contextual sobre nuevas amenazas, o formas de sacar más partido a la aplicación. Todo esto se complementa muy bien con la información detallada que nos proporciona sobre los archivos y las direcciones URL. Donde nos deja ver el comportamiento, las conexiones, y otros muchos detalles técnicos.
En cambio, también cuenta con algunas limitaciones, como puede ser el no tratarse de un antivirus en tiempo real. Por lo cual no funciona para trabajar en un sistema, ya que no es una herramienta reactiva, sino proactiva. Por otro lado, también puede dar falsos positivos. Esto es algo que ocurre en cualquier antivirus, y a esta le ocurre lo mismo. Pudiendo marcar contenido como malicioso, sin este serlo realmente. Esto nos lleva a los posibles casos donde no sea efectivo, ya que hay malware que está especialmente diseñado para evadir estos motores. Por lo cual pueden no encontrar ese comportamiento malicioso, al menos por parte de alguno de sus motores.
File
Vamos a ver cómo analiza un fichero, una vez seleccionado el fichero desde la pestaña «File», tenemos que clickar el botón azul que dice «Confirm upload«, en este caso he seleccionado un archivo Excel. Una vez cargado, empieza un análisis con más de 59 diferentes antivirus y servicios donde al final nos muestra el resultado del análisis.
Entre los servicios y antivirus que usan os vamos a poner a continuación los más conocidos:
- Ad-Aware
- AhnLab-V3
- Avast-Mobile
- Avira
- Bit Defender
- Eset-NOD32
- F-Secure
- Fortinet
- Kaspersky
- Malware bytes
- McAfee
- Microsoft
- Panda
- Sophos AV
- Symantec
- Trust look
- TrendMicro
- GData
- Comodo
- AVG
- Avast
Como podéis ver son los antivirus más importantes del mercado donde analizan nuestro archivo.
Una vez nos muestra el resultado del análisis, en la parte de arriba nos mostrará alguno de los 59 motores antivirus que han analizado el archivo y si han encontrado algo, en caso de que fuera positivo, en la pestaña «Detection» veríamos cual servicio de los 59 lo ha detectado.
En la pestaña «Details» nos muestra información sobre el archivo, historial de cuándo se ha analizado, de qué tipo de archivo es, cuándo se creó, cuándo se modificó por última vez. En la pestaña «Relation» nos mostrará en caso de estar infectado el archivo qué relación tiene con otros archivos o infecciones. Por último, la pestaña «Community» nos mostraría comentarios de otros usuarios sobre el virus que tiene infectado el archivo, y si estamos registrados en VirusTotal podremos poner nosotros comentarios.
URL
Esta nueva función radica en poder analizar un sitio web antes de entrar, esto es super interesante para tiendas online, o sitios web con mucho tráfico. En este caso vamos a usar nuestra web www.redeszone.net, una vez introducida la web y pulsando intro empezará el análisis, en este caso usa 70 motores diferentes de análisis.
Como podemos observar en el análisis, indica que 2 motores han encontrado algo malicioso, según los motores CLEAN MX y Quttera, en este caso ya os adelanto que es un falso positivo, a veces sucede. En la pestaña «Detection» solo nos indica en este caso que, de 70 motores, 2 dicen que hay algo malicioso. En la pestaña «Details», nos muestra información sobre el servidor donde está alojado RedesZone, los trackers que utilizamos y Meta Tags. En «Community», si lo que ha detectado tuviera algún comentario de otros usuarios aparecería ahí.
En este caso, al ser un falso positivo, no muestra nada de información de que se trata, ya que el propio servicio no sabe ni porque ha detectado eso. Pero desde RedesZone, os trasmitimos que nuestra web no está infectada. Por tanto, debemos tener cuidado si el número de detecciones es mayor, pero no preocuparnos o culpar directamente a un enlace porque en este tipo de herramientas salga algo así.
Search
Aquí podemos introducir una URL, IP o dominio que queramos analizar, en este caso de nuevo usaremos nuestra web www.redeszone.net
Una vez analizado, nos muestra arriba del todo que el dominio RedesZone contiene 7 urls por debajo de él. Nos muestra información como la popularidad del ranking en Cisco Umbrella, últimas DNS usadas, último certificado HTTPS con información de dicho certificado, información de los datos de registro del dominio y lo que sale del dominio en Google.
Como se puede ver, ofrece mucha información muy concreta por si queremos investigar algo sobre un dominio.
En nuestra opinión, Virus Total es un grandísimo servicio y muy fiable, ya que utiliza una gran cantidad de motores antivirus para analizar y detectar cualquier posible malware. Si tenemos dudas de una web, tienda, o archivo, nos puede ayudar a conocer si estamos o no seguros, antes de analizar ese archivo por nuestro antivirus local, o entrar en una determinada página web.
Alternativas a VirusTotal
Es posible que VirusTotal te convenza, pero que no tenga exactamente lo que deseas, o, por cualquier otra razón, estés buscando una alternativa similar o complementaria. En ese caso, vamos a ver herramientas que podrían interesarte:
- Hybrid Analysis: Plataforma que ejecuta archivos en un entorno seguro (sandbox) y muestra su comportamiento. Ideal para ver llamadas al sistema y conexiones de red.
- Metadefender Cloud (OPSWAT): Escanea con múltiples motores antivirus y puede incluso desinfectar algunos archivos. Muy útil como segunda opinión.
- Any.Run: Servicio interactivo en la nube que permite ejecutar el archivo sospechoso y observar paso a paso lo que hace. Perfecto para investigadores.
- Jotti’s Malware Scan: Escáner sencillo y rápido. Aunque no tiene tantas funciones como otros, es práctico para una revisión básica.
- Kaspersky Threat Intelligence Portal: Analiza archivos y enlaces con la tecnología de Kaspersky, una de las más reconocidas en seguridad informática.
- Dr.Web Online Scanner: Herramienta online que no solo detecta, sino que en algunos casos también puede limpiar amenazas.
- Avira Protection Cloud: Ofrece análisis en la nube con el motor de Avira, actualizado de manera constante para detectar nuevas amenazas.
- Intezer Analyze: Centrado en la investigación, detecta similitudes de código entre distintos tipos de malware y ataques.
- FortiGuard Online Scanner: Solución de Fortinet que analiza archivos y URLs, especialmente útil si ya usas productos de esta marca.
Esperemos que entre VirusTotal, y estas, consigas estar un poco más protegido y seguro. Son todas buenas herramientas, por lo que te animamos a probarlas y dejarnos un comentario con tu opinión al respecto, y con cuál te quedas.