Los investigadores de ciberseguridad han descubierto un novedoso rootkit firmado por Microsoft que est\u00e1 dise\u00f1ado para comunicarse con una infraestructura de ataque controlada por un actor.<\/p>\n
Trend Micro ha atribuido el grupo de actividad al mismo actor que se identific\u00f3 previamente como responsable del rootkit FiveSys, que sali\u00f3 a la luz en octubre de 2021.<\/p>\n
“Este actor malicioso se origina en China y sus principales v\u00edctimas son el sector de los juegos en China”, Mahmoud Zohdy, Sherif Magdy y Mohamed Fahmy de Trend Micro. dicho<\/a>. Su malware parece haber pasado por los laboratorios de calidad de hardware de Windows (WHQL<\/a>) proceso para obtener una firma v\u00e1lida.<\/p>\n Se han descubierto m\u00faltiples variantes del rootkit que abarcan ocho cl\u00fasteres diferentes, con 75 de estos controladores firmados con el programa WHQL de Microsoft en 2022 y 2023.<\/p>\n El an\u00e1lisis de Trend Micro de algunas de las muestras ha revelado la presencia de mensajes de depuraci\u00f3n en el c\u00f3digo fuente, lo que indica que la operaci\u00f3n a\u00fan se encuentra en la fase de desarrollo y prueba.<\/p>\n En pasos posteriores, el controlador de la primera etapa desactiva el Control de cuentas de usuario (UAC<\/a>) y Modo de escritorio seguro<\/a> editando el registro e inicializando Winsock Kernel (WSK<\/a>) objetos para iniciar la comunicaci\u00f3n de red con el servidor remoto.<\/p>\n Adem\u00e1s, sondea peri\u00f3dicamente el servidor para recuperar m\u00e1s cargas \u00fatiles y cargarlas directamente en la memoria despu\u00e9s de decodificar y descifrar los datos recibidos, funcionando efectivamente como un cargador de controladores de kernel sigiloso que puede eludir las detecciones.<\/p>\n “El binario principal act\u00faa como un cargador universal que permite a los atacantes cargar directamente un m\u00f3dulo de kernel sin firmar de segunda etapa”, explicaron los investigadores. “Cada complemento de la segunda etapa se personaliza para la m\u00e1quina v\u00edctima en la que se implementa, y algunos contienen incluso un controlador compilado personalizado para cada m\u00e1quina. Cada complemento tiene un conjunto espec\u00edfico de acciones que se llevar\u00e1n a cabo desde el espacio del kernel”.<\/p>\n Los complementos, por su parte, vienen con diferentes capacidades para lograr persistencia, desarmar Microsoft Defender Antivirus e implementar un proxy en la m\u00e1quina y redirigir el tr\u00e1fico de navegaci\u00f3n web a un servidor proxy remoto.<\/p>\n Al igual que FiveSys, las nuevas detecciones de rootkits se han limitado exclusivamente a China. Se dice que uno de los puntos de entrada sospechosos para estas infecciones es un juego chino troyano, que refleja el descubrimiento de Cisco Talos de un controlador malicioso llamado RedDriver.<\/p>\n Los hallazgos encajan con otros informes de Cisco Talos y Sophos sobre el uso de controladores maliciosos en modo kernel firmados por Microsoft para actividades posteriores a la explotaci\u00f3n, con actores de amenazas de habla china que usan software de c\u00f3digo abierto popular dentro de la comunidad de desarrollo de trucos de videojuegos para eludir. restricciones impuestas por el gigante tecnol\u00f3gico.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n![\"Rootkit](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689191161_129_Hackers-chinos-implementan-rootkit-firmado-por-Microsoft-para-apuntar-al.jpg\" "\\"Rootkit")
<\/div>\n