Ese «perfil de trabajo» en Google Forms podría infectar tu dispositivo

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

Ese «perfil de trabajo» en Google Forms podría infectar tu dispositivo

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Los actores de amenaza están abusando de Google Forms para distribuir archivos ZIP maliciosos que finalmente instalan el RAT PureHVNC. El archivo incluye un PDF señuelo junto con un ejecutable malicioso y un par de DLL que se ejecutan mediante secuestro de DLL. Una vez lanzado, el malware lleva a cabo el reconocimiento del sistema, roba datos y establece persistencia utilizando cambios en el registro y tareas programadas.

Investigación

Los investigadores documentaron varias variantes de la campaña y confirmaron el abuso de msimg32.dll para el secuestro de DLL. Observaron persistencia a través de la clave de ejecución de registro Miroupdate, ejecución escalonada que deja caer un ZIP final en ProgramData y un cargador de Python ofuscado que ejecuta shellcode de Donut. En la etapa final, el RAT PureHVNC se inyecta en SearchUI.exe.

Mitigación

Los usuarios deben evitar descargar archivos de páginas de Google Forms no confiables o enlaces acortados. Se debe verificar cuidadosamente la legitimidad de formularios y URL compartidos, especialmente los entregados a través de LinkedIn. Las organizaciones deben aplicar filtrado de URL y protección de endpoints para bloquear archivos maliciosos conocidos, dominios y rutas de entrega de cargas útiles.

Respuesta

Los equipos de detección deben buscar la presencia de msimg32.dll, la clave de ejecución Miroupdate, tareas programadas que contengan PowerShell en base64 y comportamiento de inyección de proceso PureHVNC. Los archivos ZIP maliciosos deben ser puestos en cuarentena, los mecanismos de persistencia eliminados y todos los dominios de infraestructura asociados bloqueados.

"graph TB %% Class definitions classDef technique fill:#e6f5ff %% Node definitions tech_user_exec["Técnica – T1204.001 Ejecución del Usuario: Enlace Malicioso Descripción: Engaña a un usuario para que haga clic en un enlace malicioso que resulta en la ejecución de código malicioso."] class tech_user_exec technique tech_dll_hijack["Técnica – T1574.001 Secuestro del Flujo de Ejecución: DLL Descripción: Carga una DLL maliciosa secuestrando el orden de búsqueda normal de DLL o utilizando técnicas de carga lateral."] class tech_dll_hijack technique tech_user_activity["Técnica – T1497.002 Evasión de Virtualización/Sandbox: Comprobaciones Basadas en la Actividad del Usuario Descripción: Comprueba la actividad real del usuario (ratón, teclado, pantalla) para determinar si está ejecutándose en un entorno de sandbox o virtual."] class tech_user_activity technique tech_rc_scripts["Técnica – T1037.004 Scripts de Inicialización de Arranque o Inicio de Sesión: Scripts RC Descripción: Modifica o crea scripts RC (control de ejecución) en sistemas similares a Unix para ganar persistencia en el arranque o inicio de sesión."] class tech_rc_scripts technique tech_scheduled_task["Técnica – T1053 Tarea/Trabajo Programado Descripción: Crea tareas o trabajos programados que ejecutan código malicioso en un momento posterior o de manera recurrente."] class tech_scheduled_task technique tech_powershell["Técnica – T1059.001 Intérprete de Comandos y Scripts: PowerShell Descripción: Utiliza PowerShell para ejecutar comandos, scripts o cargas útiles en el sistema víctima."] class tech_powershell technique tech_compress["Técnica – T1027.015 Archivos o Información Ofuscados: Compresión Descripción: Comprime o empaqueta archivos maliciosos para evadir detección y reducir tamaño."] class tech_compress technique tech_dynamic_api["Técnica – T1027.007 Archivos o Información Ofuscados: Resolución Dinámica de API Descripción: Resuelve llamadas a API en tiempo de ejecución para ocultar la verdadera intención del código ante análisis estáticos."] class tech_dynamic_api technique tech_process_injection["Técnica – T1055 Inyección de Proceso Descripción: Inyecta código malicioso en el espacio de direcciones de otro proceso en ejecución."] class tech_process_injection technique tech_process_hollow["Técnica – T1055.012 Inyección de Proceso: Hueco de Proceso Descripción: Crea un proceso legítimo en un estado suspendido y reemplaza su memoria con código malicioso."] class tech_process_hollow technique tech_sysinfo["Técnica – T1082 Descubrimiento de Información del Sistema Descripción: Recopila detalles del sistema operativo, hardware y configuración de la víctima."] class tech_sysinfo technique tech_browser_info["Técnica – T1217 Descubrimiento de Información del Navegador Descripción: Enumera navegadores instalados, extensiones y configuraciones para ayudar en el robo de credenciales."] class tech_browser_info technique tech_browser_creds["Técnica – T1555.003 Credenciales de Almacenes de Contraseñas: Credenciales de Navegadores Web Descripción: Extrae nombres de usuario y contraseñas guardadas de navegadores web."] class tech_browser_creds technique tech_file_creds["Técnica – T1552.001 Credenciales No Seguras: Credenciales En Archivos Descripción: Busca en el sistema de archivos material de credenciales almacenado en archivos de texto sin formato o mal protegidos."] class tech_file_creds technique tech_private_keys["Técnica – T1552.004 Credenciales No Seguras: Claves Privadas Descripción: Localiza archivos de claves privadas que pueden usarse para suplantar a la víctima."] class tech_private_keys technique tech_web_cookie["Técnica – T1550.004 Uso de Material de Autenticación Alternativo: Cookie de Sesión Web Descripción: Reutiliza cookies de sesión web recolectadas para autenticar servicios web sin necesidad de contraseñas."] class tech_web_cookie technique %% Connections tech_user_exec –>|desencadena| tech_dll_hijack tech_dll_hijack –>|realiza| tech_user_activity tech_dll_hijack –>|usa| tech_rc_scripts tech_rc_scripts –>|crea| tech_scheduled_task tech_scheduled_task –>|ejecuta| tech_powershell tech_powershell –>|empaqueta| tech_compress tech_compress –>|incluye| tech_dynamic_api tech_compress –>|habilita| tech_process_injection tech_process_injection –>|usa| tech_process_hollow tech_process_hollow –>|recopila| tech_sysinfo tech_process_hollow –>|descubre| tech_browser_info tech_process_hollow –>|roba| tech_browser_creds tech_process_hollow –>|roba| tech_file_creds tech_process_hollow –>|roba| tech_private_keys tech_process_hollow –>|aprovecha| tech_web_cookie "

Flujo de Ataque

Narrativa de Ataque y Comandos:
Un operador comprometió el punto final y desplegó PureHVNC. La herramienta lanza un proceso de PowerShell oculto que emite tres consultas WMI distintas para recopilar información del sistema:
1. SELECT Caption FROM Win32_OperatingSystem – recopila la versión del SO.
2. SELECT * FROM AntiVirusProduct – enumera los productos AV instalados.
3. SELECT * FROM Win32_PnPEntity WHERE (PNPClass = 'Image' OR PNPClass = 'Camera') – descubre cámaras y dispositivos de imagen conectados.
  Las consultas se ejecutan mediante wmic para mezclarse con la actividad administrativa legítima, pero las cadenas exactas coinciden con la selección del bloque de la regla de detección.

Script de Prueba de Regresión:

# Simulación de consultas WMI de PureHVNC – activa la regla de detección
$queries = @(
    "SELECT Caption FROM Win32_OperatingSystem",
    "SELECT * FROM AntiVirusProduct",
    "SELECT * FROM Win32_PnPEntity WHERE (PNPClass = 'Image' OR PNPClass = 'Camera')"
)

foreach ($q in $queries) {
    # Usa wmic para ejecutar la consulta; wmic imprime la salida en stdout
    wmic /namespace:rootcimv2 path __Namespace where "Name='root'" call CreateInstance $q 2>$null
    # Forza una breve pausa para asegurar que cada evento se registre por separado
    Start-Sleep -Milliseconds 500
}

Comandos de Limpieza:

# Eliminar cualquier archivo temporal y terminar procesos wmic restantes
Get-Process wmic -ErrorAction SilentlyContinue | Stop-Process -Force
# No se crean artefactos persistentes con el script anterior.

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis