Los actores de amenazas detr\u00e1s de un cargador de malware llamado Secuestrador<\/strong> han agregado nuevas t\u00e9cnicas para la evasi\u00f3n de defensa, ya que otros actores de amenazas contin\u00faan utilizando cada vez m\u00e1s el malware para entregar cargas \u00fatiles y herramientas adicionales.<\/p>\n “El desarrollador de malware utiliz\u00f3 una t\u00e9cnica de vaciado de procesos est\u00e1ndar junto con un disparador adicional que se activaba cuando el proceso principal escrib\u00eda en una tuber\u00eda”, dijeron los investigadores de CrowdStrike, Donato Onofri y Emanuele Calvelli. dicho<\/a> en un an\u00e1lisis del mi\u00e9rcoles. “Este nuevo enfoque tiene el potencial de hacer que la evasi\u00f3n de la defensa sea m\u00e1s sigilosa”.<\/p>\n Zscaler ThreatLabz document\u00f3 por primera vez que HijackLoader se hab\u00eda utilizado como conducto para entregar DanaBot, SystemBC y RedLine Stealer. Tambi\u00e9n se sabe que comparte un alto grado de similitud con otro cargador conocido como IDAT Loader.<\/p>\n Se considera que ambos cargadores son operados por el mismo grupo de ciberdelincuencia. En los meses intermedios, HijackLoader se propag\u00f3 a trav\u00e9s de ClearFake y fue utilizado por TA544<\/a> (tambi\u00e9n conocido como Narwhal Spider, Gold Essex y Ursnif Gang) para entregar Remcos RAT y SystemBC a trav\u00e9s de mensajes de phishing.<\/p>\n “Piense en los cargadores como lobos con piel de oveja. Su prop\u00f3sito es colarse, introducir y ejecutar amenazas y herramientas m\u00e1s sofisticadas”, dijo Liviu Arsene, director de investigaci\u00f3n e informes de amenazas de CrowdStrike, en un comunicado compartido con The Hacker News.<\/p>\n “Esta variante reciente de HijackLoader (tambi\u00e9n conocido como IDAT Loader) intensifica su juego de sigilo agregando y experimentando con nuevas t\u00e9cnicas. Esto es similar a mejorar su disfraz, haci\u00e9ndolo m\u00e1s sigiloso, m\u00e1s complejo y m\u00e1s dif\u00edcil de analizar. En esencia, Estamos refinando su camuflaje digital.”<\/p>\n El punto de partida de la cadena de ataque de varias etapas es un ejecutable (“streaming_client.exe”) que busca una conexi\u00f3n a Internet activa y procede a descargar una configuraci\u00f3n de segunda etapa desde un servidor remoto.<\/p>\n Luego, el ejecutable carga una biblioteca de v\u00ednculos din\u00e1micos (DLL) leg\u00edtima especificada en la configuraci\u00f3n para activar el c\u00f3digo shell responsable de iniciar la carga \u00fatil de HijackLoader mediante una combinaci\u00f3n de proceso de duplicaci\u00f3n<\/a> y proceso de vaciado<\/a> t\u00e9cnicas que aumentan la complejidad del an\u00e1lisis y la capacidades de evasi\u00f3n de defensa<\/a>.<\/p>\n “El c\u00f3digo shell independiente de la posici\u00f3n de la segunda etapa de HijackLoader luego realiza algunas actividades de evasi\u00f3n para evitar los ganchos del modo de usuario usando La puerta del cielo<\/a> e inyecta el c\u00f3digo shell posterior en cmd.exe”, dijeron los investigadores.<\/p>\n “La inyecci\u00f3n del c\u00f3digo shell de tercera etapa se logra a trav\u00e9s de una variaci\u00f3n del proceso hueco que da como resultado un mshtml.dll hueco inyectado en el proceso hijo cmd.exe reci\u00e9n generado”.<\/p>\n La puerta del cielo se refiere<\/a> a un truco sigiloso<\/a> que permite que el software malicioso evadir los productos de seguridad de terminales<\/a> al invocar c\u00f3digo de 64 bits en procesos de 32 bits en Windows, evitando efectivamente los ganchos del modo de usuario.<\/p>\n Una de las t\u00e9cnicas de evasi\u00f3n clave observadas en las secuencias de ataque de HijackLoader es el uso de un mecanismo de inyecci\u00f3n de procesos llamado vaciado negociado<\/a>que se ha observado previamente en malware como el Troyano bancario Osiris<\/a>.<\/p>\n “Los cargadores est\u00e1n destinados a actuar como plataformas de lanzamiento sigilosas para que los adversarios introduzcan y ejecuten malware y herramientas m\u00e1s sofisticadas sin quemar sus activos en las etapas iniciales”, dijo Arsene.<\/p>\n “Invertir en nuevas capacidades de evasi\u00f3n de defensa para HijackLoader (tambi\u00e9n conocido como IDAT Loader) es potencialmente un intento de hacerlo m\u00e1s sigiloso y pasar desapercibido para las soluciones de seguridad tradicionales. Las nuevas t\u00e9cnicas se\u00f1alan una evoluci\u00f3n tanto deliberada como experimental de las capacidades de evasi\u00f3n de defensa existentes al mismo tiempo que aumentando la complejidad del an\u00e1lisis para los investigadores de amenazas”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/HijackLoader-evoluciona-los-investigadores-decodifican-los-ultimos-metodos-de-evasion.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n