Abuso de Herramientas Legítimas de Bajo Nivel para Ayudar al Ransomware a Evadir la Detección del Antivirus

Resumen

El artículo explica cómo los operadores de ransomware abusan de las utilidades legítimas de bajo nivel, tales como Process Hacker, IOBit Unlocker, PowerRun y herramientas similares, para debilitar los antivirus y la protección del endpoint. Al hacer un mal uso de estos binarios firmados, los atacantes pueden obtener privilegios de SYSTEM o incluso a nivel de kernel, robar credenciales, y preparar el entorno para el despliegue del ransomware. El artículo destaca cómo la neutralización de antivirus ha evolucionado de scripts básicos a conjuntos de capacidades integrados en las ofertas modernas de Ransomware como Servicio. También hace referencia a grupos de ransomware del mundo real que han adoptado estos métodos.

Investigación

La investigación describe un patrón de intrusión de dos pasos en el que los adversarios primero utilizan herramientas de bajo nivel para la escalada de privilegios y evasión de antivirus, y luego pasan al robo de credenciales, la manipulación del kernel y la ejecución de la carga útil del ransomware. La actividad de las herramientas se mapea con las técnicas de MITRE ATT&CK, incluidas T1548.002, T1562.001 y T1003.001. Ejemplos de casos conectan estas utilidades con operaciones de ransomware como LockBit 3.0, Phobos, MedusaLocker, entre otros.

Mitigación

Las mitigaciones recomendadas incluyen aplicar listas de permitidos para aplicaciones, observar la terminación de procesos a gran escala, auditar los cambios en el registro que afectan las configuraciones de antivirus, y limitar la ejecución de utilidades administrativas solo a cuentas aprobadas. Las plataformas de protección de endpoint también deben fortalecer los controles de autoprotección para resistir el cierre forzado de procesos y servicios de seguridad.

Respuesta

Cuando se detecte este comportamiento, las organizaciones deben alertar sobre la terminación sospechosa de procesos de AV o EDR, aislar el host afectado, preservar evidencias forenses de cambios en el registro y archivos, e investigar el acceso a LSASS vinculado al robo de credenciales. La respuesta a incidentes debe seguir la cadena de eliminación observada lo suficientemente rápido como para contener la intrusión antes de que comience la encriptación del ransomware.

Ejecución de Simulación

Requisito Previo: El Control de Prevuelo de Telemetría y Línea Base debe haber pasado.

• Narrativa del Ataque y Comandos:

  El adversario ha obtenido derechos administrativos en el host de la víctima y quiere neutralizar la protección del endpoint antes de desplegar cargas útiles de ransomware. Usando la utilidad legítima HRSword.exe, emiten un comando que detiene el servicio de antivirus (avservice) y desactiva su reinicio automático, asegurando que el defensor no pueda recuperar el servicio durante la ventana de ataque. El comando se ejecuta directamente en una consola de PowerShell para generar un evento claro de creación de procesos en Sysmon que coincide con la regla de detección.

• Script de Prueba de Regresión:

  <# 
  Simulación del uso de HRSword.exe para detener un servicio de AV y desactivar su reinicio.
  Este script debe ejecutarse con privilegios elevados (Administrador).
  #>
  
  # Variables
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  $serviceName = "avservice"
  
  # Asegúrese de que HRSword.exe exista (crear un mock si no)
  if (-Not (Test-Path $hrswordPath)) {
      Write-Host "Creando mock HRSword.exe para simulación..."
      # Crear un ejecutable ficticio (una copia de cmd.exe) solo para fines de registro
      Copy-Item "$env:windirSystem32cmd.exe" $hrswordPath -Force
  }
  
  # Ejecutar la línea de comando exacta que la regla de Sigma observa
  $command = "& `"$hrswordPath`" /service stop $serviceName /disable"
  Write-Host "Ejecutando: $command"
  Invoke-Expression $command
  
  # Opcional: Registrar un evento personalizado para indicar la finalización (ayuda a verificar de extremo a extremo)
  Write-EventLog -LogName Application -Source "HRSwordSimulation" -EventId 3000 -EntryType Information -Message "Simulación de detención de servicio HRSword completada."

• Comandos de Limpieza:

  <#
  Restaurar el servicio de AV a su estado original y eliminar el ejecutable mock.
  #>
  
  # Reiniciar el servicio de AV (si existe)
  $serviceName = "avservice"
  if (Get-Service -Name $serviceName -ErrorAction SilentlyContinue) {
      Write-Host "Reiniciando servicio $serviceName ..."
      Start-Service -Name $serviceName -ErrorAction SilentlyContinue
  }
  
  # Eliminar el mock HRSword.exe (si fue creado)
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  if (Test-Path $hrswordPath) {
      Write-Host "Removiendo mock HRSword.exe ..."
      Remove-Item $hrswordPath -Force
  }
  
  # Limpiar la entrada de registro de eventos personalizada
  Get-EventLog -LogName Application -Source "HRSwordSimulation" -After (Get-Date).AddMinutes(-10) | Remove-EventLog