![\"Malware](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgAeQ_61JBbORKMBokahVovNpMcB5slT-YeAWh6wqOUEW0brzuJBWBCdi2wEeJdI6IFVIF7opoaw-yZP6a4Iw6DI87v8bmtidODiA-HUJC-PxNZGABGR8xMh-I9QGZydjQabEnkFtk2k6nKUpZtf237jibp4GjHzAZGkxKkVwb1FzcvVLc4n98sl4tQ\/s728-e3650\/01-wintapix-attributes.jpg\" "\\"Malware")
<\/div>\nSe ha observado a un actor de amenazas desconocido aprovechando un controlador de kernel de Windows malicioso en ataques que probablemente apuntan a Oriente Medio desde al menos mayo de 2020.<\/p>\n
Fortinet Fortiguard Labs, que apod\u00f3 el artefacto WINTAPIX<\/strong> (WinTapix.sys), atribuy\u00f3 el malware con poca confianza a un actor de amenazas iran\u00ed.<\/p>\n “WinTapix.sys es esencialmente un cargador”, los investigadores de seguridad Geri Revay y Hossein Jazi dicho<\/a> en un informe publicado el lunes. “Por lo tanto, su prop\u00f3sito principal es producir y ejecutar la siguiente etapa del ataque. Esto se hace usando un shellcode”.<\/p>\n Las muestras y los datos de telemetr\u00eda analizados por Fortinet muestran que el enfoque principal de la campa\u00f1a est\u00e1 en Arabia Saudita, Jordania, Qatar y los Emiratos \u00c1rabes Unidos. La actividad no se ha vinculado a un actor o grupo de amenazas conocido.<\/p>\n Mediante el uso de un malicioso modo n\u00facleo<\/a> controlador, la idea es subvertir o deshabilitar los mecanismos de seguridad y obtener acceso consolidado al host objetivo.<\/p>\n Dichos controladores se ejecutan dentro del memoria del n\u00facleo<\/a> y puede, por lo tanto, realizar cualquier operaci\u00f3n, incluso alterar los mecanismos cr\u00edticos de seguridad<\/a> y ejecutando c\u00f3digo arbitrario<\/a> con los m\u00e1s altos privilegios.<\/p>\n En otras palabras, ofrece una manera sigilosa<\/a> a infiltrarse m\u00e1s profundo<\/a> en el sistema de destino, mantener la persistencia y ejecutar cargas \u00fatiles adicionales<\/a> o comandos como parte del ataque de m\u00faltiples etapas del actor de amenazas.<\/p>\n Una medida de seguridad clave para mitigar los controladores maliciosos es Driver Signature Enforcement, que garantiza que solo los controladores firmados por Microsoft se puedan cargar en el sistema. El gigante tecnol\u00f3gico tambi\u00e9n mantiene reglas de bloqueo del controlador<\/a> para proteger contra controladores vulnerables conocidos.<\/p>\n WinTapix.sys, por otro lado, viene con una firma no v\u00e1lida, lo que indica que el autor de la amenaza primero tendr\u00e1 que cargar un controlador leg\u00edtimo pero vulnerable para iniciar WINTAPIX.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n Pero una vez que se carga en el kernel, WinTapix.sys se configura para inyectar un shellcode incrustado en un proceso de modo de usuario adecuado que, a su vez, ejecuta una carga \u00fatil cifrada de .NET.<\/p>\n WINTAPIX, adem\u00e1s de incrustar el shellcode creado usando el c\u00f3digo abierto proyecto de donas<\/a>establece persistencia a trav\u00e9s de modificaciones en el Registro de Windows que permite cargarlo incluso cuando la m\u00e1quina est\u00e1 arrancada Modo seguro<\/a>.<\/p>\n Por su parte, el malware .NET est\u00e1 equipado con funciones de puerta trasera y proxy para ejecutar comandos, descargar y cargar archivos y funcionar como un proxy para pasar datos entre dos puntos finales de comunicaci\u00f3n.<\/p>\n “Dado que se sabe que los actores de amenazas iran\u00edes explotan los servidores de Exchange para implementar malware adicional, tambi\u00e9n es posible que este controlador se haya empleado junto con los ataques de Exchange”, dijeron los investigadores.<\/p>\n “Hasta ese punto, el tiempo de compilaci\u00f3n de los controladores tambi\u00e9n est\u00e1 alineado con los tiempos en que los actores de amenazas iran\u00edes estaban explotando las vulnerabilidades del servidor de Exchange”.<\/p>\n El desarrollo se produce cuando se ha observado que el grupo de ransomware ALPHV (tambi\u00e9n conocido como BlackCat o Noberus) se aprovecha de un controlador malicioso firmado para afectar las defensas de seguridad y escapar de la detecci\u00f3n durante per\u00edodos prolongados.<\/p>\n El controlador en cuesti\u00f3n, ktgn.sys, es una versi\u00f3n actualizada de POORTRY que se firma con un certificado de firma cruzada robado o filtrado, firma de ciberseguridad Trend Micro dicho<\/a> en un informe<\/p>\n POORTRY es el nombre asignado a un controlador del kernel de Windows que viene con capacidades para terminar el software de seguridad. A fines del a\u00f1o pasado, se revel\u00f3 que lo usaban bandas de ransomware y un actor de amenazas conocido como UNC3944 (tambi\u00e9n conocido como Roasted 0ktapus y Scattered Spider).<\/p>\n “Los actores maliciosos que buscan activamente acceso de alto privilegio al sistema operativo Windows utilizan t\u00e9cnicas que intentan combatir la mayor protecci\u00f3n de los usuarios y procesos a trav\u00e9s de la plataforma de protecci\u00f3n de punto final (EPP) y las tecnolog\u00edas de detecci\u00f3n y respuesta de punto final (EDR)”, dijo Trend Micro. .<\/p>\n “Estos actores maliciosos tambi\u00e9n tienden a poseer suficientes recursos financieros para comprar rootkits de fuentes clandestinas o comprar certificados de firma de c\u00f3digo para construir un rootkit”.<\/p>\n <\/p>\n![\"Malware](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/El-nuevo-malware-WinTapixsys-participa-en-un-ataque-de-varias.jpg\" "\\"Malware")
<\/div>\n