BlockBlock: Monitorizando el Mac en busca de ejecuciones de demonios sospechosos

La semana pasada hablábamos de Little Flocker como herramienta para monitorizar las operaciones que se realizan dentro de macOS/OSX. El objetivo era claro y sencillo, saber cuando una aplicación accedía a información residente en el equipo y poder tener reglas que nos avisaran de posible uso. Hoy traemos una herramienta similar a Little Flocker que nos permite monitorizar el sistema en busca de operaciones sospechosas en el acceso a la información o ficheros. 

BlockBlock es una herramienta de Objective-See, a la que ya dedicamos un artículo dónde se explicaba un truco que existía para realizar un bypass con Bad@ss malware. Es cierto que BlockBlock aporta una capa de seguridad al sistema, por lo que todo lo que sume es bienvenido. El malware que se encuentre en el sistema de forma persistente, intenta asegurar que pueda arrancar tras un reinicio del sistema. BlockBlock monitoriza de forma constante las rutas comunes dónde se almacenan los binarios que arrancan con el sistema. En caso de darse la circunstancia de intentar ejecutar un binario, se nos mostrará una alerta.

Figura 1: BlockBlock en funcionamiento

BlockBlock se encuentra en fase beta, pero tiene una interesante idea detrás que es la monitorización de rutas dónde se almacenan los binarios que inician con el sistema. La suma de Little Flocker y BlockBlock ayudan a mejorar de manera sencilla la seguridad y privacidad del sistema, alertándonos cuando algo extraño sucede. Cada alerta que BlockBlock nos proporciona debe ser atendida, ya que no todas tienen por qué ser malware. Lo que está claro es que los usuarios avanzados que instalan BlockBlock y Little Flocker, tiene un espectro importante monitorizado y si ocurre algo extraño en su sistema pueden ser notificados. Interesante herramienta.