Muchos programas de software malicioso solían dejar de funcionar cuando eran ejecutados en máquinas virtuales, una estrategia diseñada para evitar ser analizados. Esto no sucede ya, según la investigación de Symantec.

Dado que las compañías incrementaron el uso MV en ambientes operacionales, los creadores de malware intentan otros métodos para evitar la detección. Esto significa simplemente que el uso de MV no será suficiente para evitar malware.

Symantec estudió 200 mil piezas de malware enviadas por sus clientes desde 2012. Ejecutó muestras sobre una MV y en un equipo físico para ver si éstas dejaban de funcionar o se detenían en cuanto detectaran una MV.

El 18% del malware estudiado se detuvo cuando detectó que se estaba ejecutando en una MV, escribió Candid Wueest, investigador de amenazas, en un comentario de blog el jueves.

"Los autores de malware quieren comprometer tantos sistemas como sea posible, si el malware no se ejecuta en una MV, esto limita el número de computadoras que se pueden comprometer", Wueest escribió. "Es por eso que no debería ser una sorpresa que la mayoría de las muestras funcionarán normalmente en una máquina virtual".

Un truco utilizado por el malware para evitar ser ejecutado desde una MV con software de seguridad es simplemente esperar, según el informe de Symantec.

Si un nuevo archivo no actúa sospechosamente en los primeros 5 o 10 minutos, los sistemas probablemente decidirán que es inofensivo. Otro tipo de malware esperará por un cierto número de clics izquierdos antes de descifrarse a sí mismo y lanzar su carga útil, Wueest escribió.    

"Esto puede complicar o imposibilitar a un sistema automatizado realizar una conclusión precisa sobre el software malicioso en un periodo de tiempo corto", según el informe.

El miedo es que el malware encuentre un camino al servidor que aloja las máquinas virtuales". Esa fue la misión del malware Crisis, un archivo de Java distribuido mediante ingeniería social que se ejecuta sobre Windows y OS X de Apple.

Crisis trató de propagarse a máquinas virtuales que se almacenaban en un servidor local, según Symantec. No explotó una vulnerabilidad pero se aprovechó de los sistemas virtuales, siendo una serie de archivos del servidor. Un estilo similar al ataque de Cloudburst descubierto en 2009.