Cadena de Infección del Qilin EDR Killer

Resumen

El informe cubre un cargador de múltiples etapas entregado como un msimg32.dll troyanizado que puede deshabilitar o eliminar más de 300 productos de detección y respuesta de terminales. El cargador combina abuso SEH/VEH avanzado, técnicas de controladores de kernel y puntos de interrupción de hardware para evadir hooks en modo usuario y eliminar procesos de seguridad. La actividad está vinculada al ecosistema de ransomware Qilin y se entrega con un controlador personalizado derivado de la herramienta ThrottleStop. El resultado final es una carga útil dedicada a matar EDR que termina servicios de seguridad y puede restablecer el control del atacante restaurando o neutralizando la lógica de callback de integridad de código.

Investigación

Los investigadores realizaron ingeniería inversa del DLL malicioso, su cargador PE, y dos controladores auxiliares, rwdrv.sys y hlpdrv.sys. El análisis detalla cómo el cargador construye una tabla de políticas de slot de syscall, manipula el despachador de excepciones y realiza hooking de IAT para redirigir la ejecución. Luego utiliza el manejo de excepciones vectorizadas para cargar y lanzar una carga basada en shell32. La capa de controladores expone el acceso a memoria física cruda y se utiliza para remover o deshabilitar callbacks del kernel relacionados con EDR, así como terminar procesos protegidos a través de una interfaz IOCTL personalizada.

Mitigación

Utilice defensas en capas y evite la dependencia de un único control EDR. Monitoree actividad anormal de carga de controladores, uso sospechoso de IOCTL de memoria física, y cambios inesperados en estructuras de callbacks del kernel. Prevenga el side-loading de DLLs donde los atacantes reemplazan bibliotecas del sistema legítimas, y añada cobertura para evasión de estilo de puntos de interrupción de hardware. Mantenga firmas de red y de terminales actualizadas, incluyendo reglas de herramientas como ClamAV y Snort.

Respuesta

Si se detecta, aísle el terminal, detenga el proceso malicioso y descargue cualquier controlador sospechoso. Capture imágenes completas de memoria para forenses, verifique específicamente rwdrv.sys y hlpdrv.sys, y valide la integridad de los callbacks del kernel y la telemetría de seguridad relacionada. Despliegue detecciones actualizadas para el nombre de archivo msimg32.dll, eventos de carga de controladores, y el patrón IOCTL 0x2222008. Complete una revisión de integridad del sistema y recupere de copias de seguridad conocidas como confiables si no se puede restablecer la confianza en el host.

Ejecución de Simulación

Prerequisito: El Chequeo Preliminar de Telemetría y Línea de Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica (TTP) del adversario diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y buscan generar la telemetría exacta que se espera de la lógica de detección.

• Narrativa del Ataque y Comandos:

  Un atacante crea un binario mínimo en C nativo que carga explícitamente ntdll.dll y llama a NtTraceEvent a través de su nombre exportado. El binario se compila en el host objetivo utilizando las Herramientas de Construcción de Visual C++, y luego se ejecuta. Porque la llamada se realiza a través de la superficie estándar de API de Windows, el evento de creación del proceso registra la imagen (ntdll.dll) y el campo CallTrace contiene la cadena “NtTraceEvent”, satisfaciendo la condición de Sigma. El atacante entonces elimina el binario para reducir los artefactos forenses.

• Script de Prueba de Regresión:

  # ---------------------------------------------------------
  # Paso 1 – Cree un fuente C temporal que llame a NtTraceEvent
  # ---------------------------------------------------------
  $src = @"
  #include <windows.h>
  typedef NTSTATUS (NTAPI *pNtTraceEvent)(HANDLE, ULONG, PVOID, ULONG);
  int main() {
      HMODULE hNtdll = LoadLibraryA("ntdll.dll");
      if (!hNtdll) return 1;
      pNtTraceEvent NtTraceEvent = (pNtTraceEvent)GetProcAddress(hNtdll, "NtTraceEvent");
      if (!NtTraceEvent) return 1;
      // Llamada mínima – los argumentos se ignoran en gran medida para esta demo
      NtTraceEvent(NULL, 0, NULL, 0);
      return 0;
  }
  "@
  $tmpPath = "$env:TEMPNtTraceDemo.c"
  $exePath = "$env:TEMPNtTraceDemo.exe"
  $src | Set-Content -Path $tmpPath -Encoding ASCII
  
  # ---------------------------------------------------------
  # Paso 2 – Compile usando cl.exe (supone herramientas de construcción de Visual C++ instaladas)
  # ---------------------------------------------------------
  $vcVars = "$env:ProgramFiles(x86)Microsoft Visual Studio2019BuildToolsVCAuxiliaryBuildvcvars64.bat"
  if (Test-Path $vcVars) {
      & cmd /c "`"$vcVars`" && cl /nologo /O2 /Fe:`"$exePath`" `"$tmpPath`""
  } else {
      Write-Error "Herramientas de Construcción de Visual C++ no encontradas. Instálelas antes de ejecutar este script."
      exit 1
  }
  
  # ---------------------------------------------------------
  # Paso 3 – Ejecute el binario (esto debería activar la regla)
  # ---------------------------------------------------------
  & $exePath
  
  # ---------------------------------------------------------
  # Paso 4 – Limpie artefactos
  # ---------------------------------------------------------
  Remove-Item -Force $tmpPath, $exePath

• Comandos de Limpieza:

  # Asegúrate de que se eliminen cualquier archivo sobrante (ejecutar como administrador)
  Get-ChildItem "$env:TEMPNtTraceDemo.*" -ErrorAction SilentlyContinue | Remove-Item -Force