Los investigadores de ciberseguridad han arrojado luz sobre un m\u00f3dulo de adware que pretende bloquear anuncios y sitios web maliciosos, mientras descarga sigilosamente un componente de controlador de kernel que otorga a los atacantes la capacidad de ejecutar c\u00f3digo arbitrario con permisos elevados en los hosts de Windows.<\/p>\n
El malware, denominado HotPage, recibe su nombre del instalador hom\u00f3nimo (“HotPage.exe”), seg\u00fan nuevos hallazgos de ESET.<\/p>\n
El instalador “despliega un controlador capaz de inyectar c\u00f3digo en procesos remotos y dos bibliotecas capaces de interceptar y manipular el tr\u00e1fico de red de los navegadores”, dijo el investigador de ESET Romain Dumont. dicho<\/a> en un an\u00e1lisis t\u00e9cnico publicado hoy.<\/p>\n “El malware puede modificar o reemplazar el contenido de una p\u00e1gina solicitada, redirigir al usuario a otra p\u00e1gina o abrir una nueva p\u00e1gina en una nueva pesta\u00f1a seg\u00fan ciertas condiciones”.<\/p>\n Adem\u00e1s de aprovechar sus capacidades de interceptaci\u00f3n y filtrado del tr\u00e1fico del navegador para mostrar anuncios relacionados con el juego, est\u00e1 dise\u00f1ado para recopilar y filtrar informaci\u00f3n del sistema a un servidor remoto asociado con una empresa china llamada Hubei Dunwang Network Technology Co., Ltd (\u6e56\u5317\u76fe\u7f51\u7f51\u7edc\u79d1\u6280\u6709\u9650\u516c\u53f8).<\/p>\n Esto se logra por medio de un controlador, cuyo objetivo principal es inyectar las bibliotecas en las aplicaciones del navegador y alterar su flujo de ejecuci\u00f3n para cambiar la URL a la que se accede o garantizar que la p\u00e1gina de inicio de la nueva instancia del navegador web se redirija a una URL particular especificada en una configuraci\u00f3n.<\/p>\n Pero eso no es todo. La ausencia de listas de control de acceso (Listas de control de acceso (ACL)<\/a>) para el controlador significaba que un atacante con una cuenta sin privilegios podr\u00eda aprovecharlo para obtener privilegios elevados y ejecutar c\u00f3digo como la cuenta NT AUTHORITYSystem.<\/p>\n “Este componente del n\u00facleo deja la puerta abierta sin querer para que otras amenazas ejecuten c\u00f3digo en el nivel de privilegio m\u00e1s alto disponible en el sistema operativo Windows: la cuenta del sistema”, dijo Dumont. “Debido a las restricciones de acceso indebidas a este componente del n\u00facleo, cualquier proceso puede comunicarse con \u00e9l y aprovechar su capacidad de inyecci\u00f3n de c\u00f3digo para atacar cualquier proceso no protegido”.<\/p>\n Aunque no se conoce el m\u00e9todo exacto por el cual se distribuye el instalador, la evidencia reunida por la empresa de ciberseguridad eslovaca muestra que se ha publicitado como una soluci\u00f3n de seguridad para cibercaf\u00e9s que pretende mejorar la experiencia de navegaci\u00f3n de los usuarios al detener los anuncios.<\/p>\n El controlador integrado se destaca por el hecho de que est\u00e1 firmado por Microsoft. Se cree que la empresa china ha pasado por el proceso de certificaci\u00f3n de Microsoft. Requisitos de firma del c\u00f3digo del conductor<\/a> y logr\u00f3 obtener un certificado de Verificaci\u00f3n Extendida (EV). Ha sido eliminado de la lista Cat\u00e1logo de servidores de Windows<\/a> a partir del 1 de mayo de 2024.<\/p>\n Se requiere que los controladores en modo kernel est\u00e9n firmados digitalmente para poder ser cargados por el sistema operativo Windows, una importante capa de defensa erigida por Microsoft para proteger contra controladores maliciosos que podr\u00edan usarse para subvertir los controles de seguridad e interferir con los procesos del sistema.<\/p>\n Dicho esto, Cisco Talos revel\u00f3 en julio pasado c\u00f3mo actores de amenazas nativos de habla china est\u00e1n explotando una laguna en la pol\u00edtica de Microsoft Windows para falsificar firmas en controladores de modo kernel.<\/p>\n “El an\u00e1lisis de este malware de aspecto bastante gen\u00e9rico ha demostrado, una vez m\u00e1s, que los desarrolladores de adware todav\u00eda est\u00e1n dispuestos a hacer un esfuerzo adicional para lograr sus objetivos”, dijo Dumont.<\/p>\n “No s\u00f3lo eso, han desarrollado un componente kernel con un amplio conjunto de t\u00e9cnicas para manipular procesos, sino que tambi\u00e9n pasaron por los requisitos impuestos por Microsoft para obtener un certificado de firma de c\u00f3digo para su componente controlador”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Alerta-El-adware-HotPage-camuflado-como-bloqueador-de-anuncios-instala.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n