Malware sin archivos y ataques Living-off-the-Land

El malware tradicional escribe archivos ejecutables en el disco, lo que brinda al antivirus basado en firmas la oportunidad de analizarlos y detectarlos. El malware sin archivos opera completamente en la memoria o abusa de herramientas legítimas ya instaladas, sin dejar archivos de malware tradicionales que el antivirus pueda encontrar. Esto reduce drásticamente las tasas de detección de las herramientas basadas en firmas. Los proveedores de seguridad informan que los ataques de malware sin archivos tienen una probabilidad 10 veces mayor de éxito que los ataques basados en archivos. El atraco al Bangladesh Bank de 2016, las variantes de Petya/NotPetya de 2017 y numerosas intrusiones de Estados nación han utilizado técnicas sin archivos para mantener la persistencia y evadir la detección.

Los ataques de Living-off-the-land (LotL) utilizan herramientas y utilidades legítimas que ya están presentes en el sistema víctima para llevar a cabo acciones maliciosas. El sistema operativo y el software de seguridad confían en estas herramientas —PowerShell, WMI, certutil, mshta, regsvr32 y rundll32— porque tienen usos legítimos. Un atacante que utiliza exclusivamente herramientas integradas puede confundirse con la actividad administrativa normal. El desafío para los defensores consiste en distinguir el uso malicioso de estas herramientas del trabajo administrativo legítimo. Por eso, el análisis de comportamiento y el conocimiento del contexto son más eficaces que la detección basada en firmas para las técnicas LotL.

PowerShell es la herramienta LotL más utilizada de forma indebida porque proporciona acceso a todo el framework .NET, WMI y las API de Windows, dejando un rastro mínimo cuando se ejecuta en la memoria. Los atacantes descargan scripts de PowerShell directamente en la memoria sin escribirlos en el disco, codifican comandos en Base64 para ofuscarlos frente al registro y utilizan funciones como la reflexión para cargar ensamblados .NET en la memoria. Los frameworks Empire y Cobalt Strike dependen en gran medida de PowerShell durante la explotación posterior. Entre las defensas se incluyen PowerShell Constrained Language Mode, ScriptBlock Logging (registra el contenido decodificado de los scripts), Module Logging y la restricción de quién puede ejecutar PowerShell mediante la directiva de grupo.

WMI (Windows Management Instrumentation) es una potente función de Windows para la administración de sistemas que los atacantes utilizan de forma indebida para la persistencia y el movimiento lateral. Una suscripción a eventos de WMI activa un comando cuando ocurre un evento especificado (por ejemplo, cada 5 minutos, al iniciar sesión o cuando se inicia un proceso específico). Estas suscripciones sobreviven a los reinicios, se almacenan en el repositorio de WMI y no aparecen como tareas programadas tradicionales ni como claves de ejecución del registro, por lo que evaden muchas herramientas de detección de persistencia. Los atacantes también pueden utilizar WMI para ejecutar procesos en sistemas remotos mediante DCOM (puerto 135), lo que permite el movimiento lateral sin recursos compartidos de red.

La inyección de procesos permite que el malware ejecute código malicioso dentro del espacio de direcciones de un proceso legítimo y confiable (explorer.exe, svchost.exe, notepad.exe). El código malicioso hereda los privilegios y la identidad del proceso, lo que hace que las conexiones de red parezcan proceder de una aplicación confiable. Entre las técnicas de inyección habituales se incluyen la inyección de DLL (cargar una DLL maliciosa en otro proceso), el vaciado de procesos (crear un proceso suspendido, desasignar su código y reemplazarlo por código malicioso) y la inyección reflexiva de DLL (cargar una DLL directamente desde la memoria sin escribirla en el disco). Las herramientas de EDR detectan la inyección mediante la supervisión de secuencias de llamadas a API (OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread).

Muchas cadenas de ataque sin archivos comienzan con un documento malicioso de Office que contiene macros de VBA. Cuando el usuario abre el documento y habilita las macros (a menudo atraído por un mensaje como «Enable Content to view this document»), la macro ejecuta PowerShell para descargar y ejecutar una carga útil directamente en la memoria. La carga útil nunca toca el disco; únicamente lo hace el documento original de Office. Por eso el examen Security+ hace hincapié en deshabilitar las macros y desplegar reglas de ASR (Attack Surface Reduction). Los frameworks modernos de phishing de tipo atacante en el medio (como Evilginx2) también entregan documentos maliciosos después de capturar las credenciales para desplegar RAT.

AMSI (Antimalware Scan Interface) es una API de Windows que permite a las aplicaciones (PowerShell, VBScript, JScript y Office) enviar contenido al motor antivirus instalado para analizarlo durante la ejecución, incluso antes de que el contenido se escriba en el disco. AMSI permite a los proveedores de antivirus analizar el contenido de los scripts que, de otro modo, sería invisible para el análisis basado en archivos. Los atacantes intentan eludir AMSI modificando mediante parches amsi.dll en la memoria para que devuelva un resultado de «clean» para todos los envíos, o bien ofuscando el contenido de los scripts para evadir la coincidencia de firmas. Las herramientas de EDR supervisan los intentos de aplicar parches a AMSI como indicador de actividad de ataques sin archivos.

La detección del malware sin archivos requiere pasar de la detección basada en archivos a la supervisión del comportamiento. Entre las principales estrategias de detección se incluyen las siguientes: PowerShell ScriptBlock Logging captura el contenido decodificado de los scripts aunque estén codificados en la línea de comandos; Sysmon registra la creación de procesos con las líneas de comandos completas, las conexiones de red con la atribución al proceso y las modificaciones del registro; las reglas de comportamiento de EDR generan alertas sobre relaciones sospechosas entre procesos (Word inicia PowerShell, PowerShell inicia cmd, certutil descarga ejecutables); y Windows Event Forwarding envía estos registros a un SIEM centralizado para su correlación y conservación a largo plazo.

Las organizaciones pueden reducir la superficie de ataque LotL restringiendo qué usuarios pueden ejecutar herramientas potentes. PowerShell Constrained Language Mode limita las llamadas a .NET, los objetos COM y la reflexión de los que dependen los atacantes. AppLocker y WDAC (Windows Defender Application Control) pueden impedir que usuarios que no sean administradores ejecuten binarios específicos. El proyecto LOLBAS cataloga binarios LotL conocidos junto con sus técnicas de ataque, lo que ayuda a los defensores a identificar qué binarios deben supervisar o restringir. No todos los binarios LotL pueden bloquearse (muchos son necesarios para el funcionamiento del sistema operativo), pero es posible supervisar su uso teniendo en cuenta el contexto.

El framework MITRE ATT&CK documenta ampliamente las técnicas sin archivos y LotL. Entre las sub técnicas principales se incluyen: T1059.001 (PowerShell), T1047 (ejecución mediante WMI), T1055 (inyección de procesos), T1140 (desofuscar/decodificar archivos), T1003.001 (memoria de LSASS para la extracción de credenciales) y T1546.003 (suscripción a eventos de WMI para la persistencia). Mapear sus capacidades de detección con estas técnicas mediante ATT&CK Navigator permite revelar brechas de cobertura y orientar el desarrollo de reglas de SIEM. El framework también proporciona orientación sobre mitigación y detección para cada técnica.

Una estrategia de defensa en capas contra el malware sin archivos incluye: habilitar el registro de PowerShell (ScriptBlock, Module y Transcription), desplegar Sysmon con una configuración completa, implementar AMSI con un motor antivirus actualizado, aplicar PowerShell Constrained Language Mode mediante WDAC, restringir la ejecución de macros en documentos de Office mediante la directiva de grupo, desplegar EDR con capacidades de detección de comportamiento y reenviar todos los registros a un SIEM con reglas de detección para cadenas de procesos maliciosas conocidas. La combinación de restringir la superficie de ataque y mejorar la visibilidad dificulta considerablemente la ejecución de ataques sin archivos sin ser detectados.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que el malware sin archivos opera en la memoria y abusa de herramientas legítimas del sistema operativo, como PowerShell, WMI y certutil, para evadir la detección basada en firmas; que las técnicas de inyección de procesos ocultan código malicioso dentro de procesos confiables mediante la explotación de las API de administración de memoria de Windows; y que la detección de comportamiento mediante SIEM, Sysmon y EDR, combinada con el registro de PowerShell y AMSI, proporciona la defensa más sólida contra estas cadenas de ataque que evaden las firmas. A continuación exploraremos las diferencias entre el análisis de vulnerabilidades y las pruebas de penetración.