Los investigadores de ciberseguridad han se\u00f1alado el descubrimiento de una nueva herramienta de equipo rojo posterior a la explotaci\u00f3n llamada Astilla<\/strong> En la naturaleza.<\/p>\n La Unidad 42 de Palo Alto Networks comparti\u00f3 sus hallazgos despu\u00e9s de descubrir el programa en los sistemas de varios clientes.<\/p>\n “Tiene un conjunto est\u00e1ndar de caracter\u00edsticas que se encuentran com\u00fanmente en herramientas de prueba de penetraci\u00f3n y su desarrollador lo cre\u00f3 utilizando el lenguaje de programaci\u00f3n Rust”, dijo Dominik Reichel de Unit 42. dicho<\/a>“Si bien Splinter no es tan avanzado como otras herramientas de post-explotaci\u00f3n conocidas como Cobalt Strike, a\u00fan presenta una amenaza potencial para las organizaciones si se utiliza incorrectamente”.<\/p>\n Las herramientas de pruebas de penetraci\u00f3n suelen utilizarse en operaciones de equipos rojos para detectar posibles problemas de seguridad en la red de una empresa. Sin embargo, los actores de amenazas tambi\u00e9n pueden utilizar estas herramientas de simulaci\u00f3n de adversarios para su propio beneficio. <\/p>\n La Unidad 42 afirm\u00f3 que no ha detectado ninguna actividad de un actor de amenazas asociada con el conjunto de herramientas Splinter. Todav\u00eda no hay informaci\u00f3n sobre qui\u00e9n desarroll\u00f3 la herramienta.<\/p>\n Los artefactos descubiertos por la empresa de ciberseguridad revelan que son “excepcionalmente grandes”, con un tama\u00f1o de alrededor de 7 MB, principalmente debido a la presencia de 61 cajas de Rust en su interior.<\/p>\n Splinter no se diferencia de otros marcos de post-explotaci\u00f3n en que viene con una configuraci\u00f3n que incluye informaci\u00f3n sobre el servidor de comando y control (C2), que se analiza para establecer contacto con el servidor mediante HTTPS.<\/p>\n “Los implantes Splinter est\u00e1n controlados por un modelo basado en tareas, algo com\u00fan entre los marcos de trabajo posteriores a la explotaci\u00f3n”, se\u00f1al\u00f3 Reichel. “Obtiene sus tareas del servidor C2 que el atacante ha definido”.<\/p>\n Algunas de las funciones de la herramienta incluyen ejecutar comandos de Windows, ejecutar m\u00f3dulos a trav\u00e9s de inyecci\u00f3n de procesos remotos, cargar y descargar archivos, recopilar informaci\u00f3n de cuentas de servicios en la nube y eliminarse del sistema.<\/p>\n “La creciente variedad subraya la importancia de mantenerse actualizado en las capacidades de prevenci\u00f3n y detecci\u00f3n, ya que es probable que los delincuentes adopten cualquier t\u00e9cnica que sea efectiva para comprometer a las organizaciones”, dijo Reichel.<\/p>\n La revelaci\u00f3n se produce cuando Deep Instinct detall\u00f3 dos m\u00e9todos de ataque que podr\u00edan ser explotados por actores de amenazas para lograr una inyecci\u00f3n de c\u00f3digo sigilosa y una escalada de privilegios aprovechando una interfaz RPC en Microsoft Office y un ataque malicioso. calce<\/a>respectivamente.<\/p>\n “Aplicamos un shim malicioso en un proceso sin registrar un archivo SDB en el sistema”, dijeron los investigadores Ron Ben-Yizhak y David Shandalov. dicho<\/a>“Evitamos eficazmente la detecci\u00f3n de EDR escribiendo en un proceso secundario y cargando la DLL de destino desde el proceso secundario suspendido antes de que se pueda establecer cualquier enlace de EDR”.<\/p>\n En julio de 2024, Check Point tambi\u00e9n arroj\u00f3 luz sobre una nueva t\u00e9cnica de inyecci\u00f3n de procesos llamada Thread Name-Calling que permite implantar un shellcode en un proceso en ejecuci\u00f3n abusando de la API para descripciones de subprocesos mientras se eluden los productos de protecci\u00f3n de puntos finales.<\/p>\n “A medida que se a\u00f1aden nuevas API a Windows, aparecen nuevas ideas para t\u00e9cnicas de inyecci\u00f3n”, dijo la investigadora de seguridad Aleksandra “Hasherezade” Doniec dicho<\/a>.<\/p>\n “Thread Name-Calling utiliza algunas de las API relativamente nuevas. Sin embargo, no puede evitar la incorporaci\u00f3n de componentes m\u00e1s antiguos y conocidos, como Veh\u00edculo blindado<\/a> Inyecciones de API: API que siempre deben tenerse en cuenta como una amenaza potencial. De manera similar, la manipulaci\u00f3n de los derechos de acceso dentro de un proceso remoto es una actividad sospechosa”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Investigadores-de-ciberseguridad-advierten-sobre-nueva-herramienta-de-post-explotacion-Splinter.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n