Los investigadores de seguridad cibern\u00e9tica han expuesto una amplia variedad de t\u00e9cnicas adoptadas por un descargador de malware avanzado llamado GuLoader<\/strong> para evadir el software de seguridad.<\/p>\n “La nueva t\u00e9cnica de antian\u00e1lisis de shellcode intenta frustrar a los investigadores y los entornos hostiles al escanear la memoria del proceso completo en busca de cadenas relacionadas con la m\u00e1quina virtual (VM)”, los investigadores de CrowdStrike, Sarang Sonawane y Donato Onofri. dijo<\/a> en un art\u00edculo t\u00e9cnico publicado la semana pasada.<\/p>\n GuLoader, tambi\u00e9n llamado CloudEyE<\/a>, es un descargador de Visual Basic Script (VBS) que se usa para distribuir troyanos de acceso remoto en m\u00e1quinas infectadas. Se detect\u00f3 por primera vez en la naturaleza en 2019.<\/p>\n En noviembre de 2021, una cepa de malware de JavaScript denominada RATDispenser surgi\u00f3 como un conducto para colocar GuLoader a trav\u00e9s de un cuentagotas VBScript codificado en Base64.<\/p>\n Una muestra reciente de GuLoader desenterrada por CrowdStrike muestra un proceso de tres etapas en el que el VBScript est\u00e1 dise\u00f1ado para ofrecer una etapa siguiente que realiza comprobaciones antian\u00e1lisis antes de inyectar el c\u00f3digo de shell incrustado en el VBScript en la memoria.<\/p>\n El shellcode, adem\u00e1s de incorporar los mismos m\u00e9todos de antian\u00e1lisis, descarga un payload final elegido por el atacante desde un servidor remoto y lo ejecuta en el host comprometido.<\/p>\n “El shellcode emplea varios trucos contra el an\u00e1lisis y la depuraci\u00f3n en cada paso de la ejecuci\u00f3n, arrojando un mensaje de error si el shellcode detecta alg\u00fan an\u00e1lisis conocido de los mecanismos de depuraci\u00f3n”, se\u00f1alaron los investigadores.<\/p>\n Esto incluye comprobaciones anti-depuraci\u00f3n y anti-desmontaje para detectar la presencia de un depurador remoto y puntos de interrupci\u00f3n y, si se encuentran, terminar el c\u00f3digo de shell. El shellcode tambi\u00e9n presenta escaneos para software de virtualizaci\u00f3n.<\/p>\n Una capacidad adicional es lo que la compa\u00f1\u00eda de ciberseguridad llama un “mecanismo de inyecci\u00f3n de c\u00f3digo redundante” para evitar NTDLL.dll<\/a> ganchos implementados por soluciones de detecci\u00f3n y respuesta de punto final (EDR).<\/p>\n API de NTDLL.dll enganche<\/a> es un t\u00e9cnica<\/a> usado<\/a> por motores antimalware para detectar y marcar procesos sospechosos en Windows al monitorear las API que se sabe que son abusadas por los actores de amenazas.<\/p>\n En pocas palabras, el m\u00e9todo implica el uso de instrucciones de ensamblaje para invocar la funci\u00f3n API de Windows necesaria para asignar memoria (es decir, NtAsignarMemoriaVirtual<\/a>) e inyectar Shellcode arbitrario en la memoria a trav\u00e9s de proceso de vaciado<\/a>. <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEiFnQCqFUEdZwz09FePR3hG7AgLONIkxkHQShYlYG9sMAfmFEby7X_H70pQ-9LE4EGZ23DtteXmqkaRJtbEWD3LgdJDEQS_GzBo6ugwqRwVEo_kbRN9E1kruaJrfiBDjY0e2mRjaHuWU1gkUzsLRVbvt0IMXMhc3P1YIy9M0fvNOrWDRwsyC7dkMcnC1A\/s728-e365-rj\/welcome-728.png\")
<\/a><\/center><\/div>\n