Un actor de amenazas desconocido us\u00f3 un archivo autoextra\u00edble malicioso (SFX<\/a>) en un intento de establecer un acceso persistente de puerta trasera al entorno de una v\u00edctima, seg\u00fan muestran los nuevos hallazgos de CrowdStrike.<\/p>\n Los archivos SFX son capaces de extraer los datos contenidos en ellos sin la necesidad de un software dedicado para mostrar el contenido del archivo. Lo logra al incluir un c\u00f3digo auxiliar de descompresor, una pieza de c\u00f3digo que se ejecuta para desempaquetar el archivo.<\/p>\n “Sin embargo, los archivos de almacenamiento SFX tambi\u00e9n pueden contener funciones maliciosas ocultas que pueden no ser visibles de inmediato para el destinatario del archivo y podr\u00edan pasar desapercibidas solo con detecciones basadas en tecnolog\u00eda”, dijo Jai Minton, investigador de CrowdStrike. dicho<\/a>.<\/p>\n En el caso investigado por la firma de seguridad cibern\u00e9tica, las credenciales comprometidas de un sistema se usaron para ejecutar una aplicaci\u00f3n leg\u00edtima de accesibilidad de Windows llamada Utility Manager (utilman.exe) y, posteriormente, iniciar un archivo SFX protegido con contrase\u00f1a.<\/p>\n Esto, a su vez, es posible gracias a configurar un programa depurador<\/a> (otro ejecutable) en el Registro de Windows a un programa espec\u00edfico (en este caso, utilman.exe) para que el depurador se inicie autom\u00e1ticamente cada vez que se inicie el programa.<\/p>\n El abuso de utilman.exe tambi\u00e9n es digno de menci\u00f3n, ya que puede ser lanzado directamente<\/a> desde la pantalla de inicio de sesi\u00f3n de Windows usando el Tecla del logotipo de Windows + m\u00e9todo abreviado de teclado U<\/a>lo que potencialmente permite a los actores de amenazas configurar puertas traseras a trav\u00e9s de la clave del Registro de opciones de ejecuci\u00f3n de archivos de imagen.<\/p>\n “Una inspecci\u00f3n m\u00e1s cercana del archivo SFX revel\u00f3 que funciona como una puerta trasera protegida por contrase\u00f1a al abusar de las opciones de configuraci\u00f3n de WinRAR en lugar de contener malware”, explic\u00f3 Minton. <\/p>\n Espec\u00edficamente, el archivo est\u00e1 dise\u00f1ado para ejecutar PowerShell (powershell.exe), S\u00edmbolo del sistema (cmd.exe) y Administrador de tareas (taskmgr.exe) con privilegios NT AUTHORITYSYSTEM proporcionando la contrase\u00f1a correcta para el archivo.<\/p>\n “Es probable que este tipo de ataque no sea detectado por el software antivirus tradicional que busca malware dentro de un archivo (que a menudo tambi\u00e9n est\u00e1 protegido con contrase\u00f1a) en lugar del comportamiento de un descompresor de archivo SFX”, agreg\u00f3 Minton.<\/p>\n Aprenda a proteger el per\u00edmetro de identidad: estrategias comprobadas<\/p>\n Mejore la seguridad de su empresa con nuestro pr\u00f3ximo seminario web sobre ciberseguridad dirigido por expertos: \u00a1Explore las estrategias del per\u00edmetro de identidad!<\/p>\n No se lo pierda: \u00a1guarde su asiento!<\/a><\/div>\n Esta no es la primera vez que los archivos SFX se emplean en ataques como un medio para que los atacantes pasen desapercibidos. En septiembre de 2022, Kaspersky revel\u00f3 una campa\u00f1a de malware que utilizaba enlaces a dichos archivos protegidos con contrase\u00f1a para propagar<\/a> Ladr\u00f3n de l\u00ednea roja<\/a>.<\/p>\n Un mes despu\u00e9s, se observ\u00f3 que la infame botnet Emotet enviaba un archivo SFX que, una vez abierto por un usuario, extra\u00eda autom\u00e1ticamente un segundo archivo SFX protegido con contrase\u00f1a, ingresaba la contrase\u00f1a y ejecutaba su contenido sin m\u00e1s interacci\u00f3n del usuario mediante un script por lotes. .<\/p>\n Para mitigar las amenazas planteadas por este vector de ataque, se recomienda que los archivos SFX se analicen a trav\u00e9s de un software de desarchivado para identificar posibles scripts o archivos binarios que est\u00e9n configurados para extraerse y ejecutarse al momento de la ejecuci\u00f3n.<\/p>\n <\/p>\n![\"Archivos](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/1680702403_336_Los-piratas-informaticos-utilizan-archivos-autoextraibles-para-ataques-sigilosos-de.png\" "\\"Archivos")
<\/div>\n