{"id":646920,"date":"2023-02-27T22:15:47","date_gmt":"2023-02-27T22:15:47","guid":{"rendered":"https:\/\/teknomers.com\/es\/troyano-plugx-disfrazado-de-herramienta-legitima-de-depuracion-de-windows-en-los-ultimos-ataques\/"},"modified":"2023-02-27T22:15:47","modified_gmt":"2023-02-27T22:15:47","slug":"troyano-plugx-disfrazado-de-herramienta-legitima-de-depuracion-de-windows-en-los-ultimos-ataques","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/troyano-plugx-disfrazado-de-herramienta-legitima-de-depuracion-de-windows-en-los-ultimos-ataques\/","title":{"rendered":"Troyano PlugX disfrazado de herramienta leg\u00edtima de depuraci\u00f3n de Windows en los \u00faltimos ataques"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>27 de febrero de 2023<\/span>\ue804<\/i>Ravie Lakshman\u00e1n<\/span><\/span>Malware\/ataque cibern\u00e9tico<\/span><\/p>\n<\/div>\n

\n
\"Troyano<\/div>\n

El EnchufeX<\/strong> Se ha observado que un troyano de acceso remoto se hace pasar por una herramienta de depuraci\u00f3n de Windows de c\u00f3digo abierto llamada x64dbg en un intento de eludir las protecciones de seguridad y obtener el control de un sistema de destino.<\/p>\n

“Este archivo es una herramienta leg\u00edtima de depuraci\u00f3n de c\u00f3digo abierto para Windows que generalmente se usa para examinar el c\u00f3digo en modo kernel y en modo usuario, los volcados de memoria o los registros de la CPU”, dijeron los investigadores de Trend Micro Buddy Tancio, Jed Valderama y Catherine Loveria. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n

PlugX, tambi\u00e9n conocido como Korplug<\/a>es una post-explotaci\u00f3n implante modular<\/a>que, entre otras cosas, es conocida por sus m\u00faltiples funcionalidades, como la exfiltraci\u00f3n de datos y su capacidad para utilizar la m\u00e1quina comprometida con fines nefastos.<\/p>\n

Aunque se document\u00f3 por primera vez hace una d\u00e9cada en 2012, las primeras muestras del malware datan de febrero de 2008, seg\u00fan un Informe de Trend Micro<\/a> En el momento. A lo largo de los a\u00f1os, PlugX ha sido utilizado por actores de amenazas con un nexo chino, as\u00ed como por grupos de ciberdelincuencia.<\/p>\n

Uno de los m\u00e9todos clave que emplea el malware es una t\u00e9cnica Carga lateral de DLL<\/a> para cargar un DLL malicioso<\/a> desde una aplicaci\u00f3n de software firmada digitalmente, en este caso el x64dbg<\/a> herramienta de depuraci\u00f3n (x32dbg.exe).<\/p>\n

Vale la pena se\u00f1alar aqu\u00ed que los ataques de carga lateral de DLL aprovechan el Mecanismo de orden de b\u00fasqueda de DLL<\/a> en Windows para plantar y luego invocar una aplicaci\u00f3n leg\u00edtima que ejecuta una carga maliciosa.<\/p>\n

“Al ser una aplicaci\u00f3n leg\u00edtima, la firma digital v\u00e1lida de x32dbg.exe puede confundir algunas herramientas de seguridad, lo que permite a los actores de amenazas pasar desapercibidos, mantener la persistencia, aumentar los privilegios y eludir las restricciones de ejecuci\u00f3n de archivos”, dijeron los investigadores.<\/p>\n

El secuestro de x64dbg para cargar PlugX fue revelado el mes pasado por la Unidad 42 de Palo Alto Networks, que descubri\u00f3 una nueva variante del malware que oculta archivos maliciosos en dispositivos USB extra\u00edbles para propagar la infecci\u00f3n a otros hosts de Windows.<\/p>\n

La persistencia se logra a trav\u00e9s de modificaciones en el Registro de Windows y la creaci\u00f3n de tareas programadas para garantizar el acceso continuo incluso despu\u00e9s de reiniciar el sistema.<\/p>\n

El an\u00e1lisis de Trend Micro de la cadena de ataques tambi\u00e9n revel\u00f3 el uso de x32dbg.exe para implementar una puerta trasera, un cliente de shell UDP que recopila informaci\u00f3n del sistema y espera instrucciones adicionales de un servidor remoto.<\/p>\n

“A pesar de los avances en la tecnolog\u00eda de seguridad, los atacantes contin\u00faan usando [DLL side-loading] ya que explota una confianza fundamental en las aplicaciones leg\u00edtimas”, dijeron los investigadores.<\/p>\n

“Esta t\u00e9cnica seguir\u00e1 siendo viable para que los atacantes entreguen malware y obtengan acceso a informaci\u00f3n confidencial siempre que los sistemas y las aplicaciones contin\u00faen confiando y cargando bibliotecas din\u00e1micas”.<\/p>\n

<\/p>\n

\u00bfEncontraste este art\u00edculo interesante? Siga con nosotros Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n