Campaña de Ataque Basada en Controladores PoisonX Apunta a Organizaciones Japonesas

Resumen

Una campaña observada en abril de 2026 utilizó correos electrónicos de spear-phishing con archivos LNK maliciosos o descargas ejecutables alojadas en Google Cloud Storage. La carga útil entregada instaló un controlador de kernel llamado PoisonX junto con un RAT modular llamado 10FXRAT, permitiendo a los atacantes obtener privilegios a nivel de kernel, desactivar herramientas de seguridad y ocultar actividades maliciosas. Variantes posteriores también adoptaron tácticas BYOVD a través de controladores legítimos firmados como EneIo64.sys and procexp.sys. Se ha observado que la actividad tiene como objetivo a organizaciones en Japón y China.

Investigación

El informe recorre toda la cadena de ejecución, comenzando con un descargador basado en LNK que invoca curl.exe, luego avanza a los componentes PXDropper que despliegan el controlador PoisonX y los módulos 10FXRAT. También describe las rutinas IOCTL basadas en controlador utilizadas para terminar procesos relacionados con la seguridad y ocultar el tráfico de red. Los investigadores documentaron verificaciones anti-análisis, modificaciones de registro, creación de servicios y métodos de persistencia, y enumeraron direcciones IP de comando y control codificadas asociadas con la operación.

Mitigación

Los defensores deben monitorear la actividad inesperada de instalación de controladores, especialmente controladores que no estén firmados o que estén firmados de manera sospechosa, y la creación de servicios con nombres de archivo al estilo HID aleatorios. La detección también debe cubrir cambios en el registro que agreguen exclusiones para Microsoft Defender o desactiven los servicios de Defender. Debe bloquearse el tráfico saliente a los rangos de IP de comando y control identificados, y la monitorización de la red debe buscar el valor mágico 0x58463031 en las cargas útiles de TCP.

Respuesta

Si se detecta esta actividad, aísle de inmediato el endpoint afectado, descargue el controlador PoisonX donde sea posible, y termine todos los procesos 10FXRAT. Restaure los ajustes de registro alterados, re-habilite las protecciones de Microsoft Defender y reemplace los archivos modificados con versiones limpias de fuentes confiables. Luego se debe realizar una investigación forense completa para identificar mecanismos de persistencia y revisar el tráfico hacia los servidores de comando y control conocidos.

Ejecución de Simulación

Prerrequisito: El Chequeo de Pre‑vuelo de la Telemetría y Línea Base debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica de adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y tienen el objetivo de generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:
  El atacante primero inyecta una carga útil de shellcode personalizada en usoclient64.exe para obtener un punto de apoyo de proceso de confianza (T1574.009). Con el proceso secuestrado, ejecutan una línea única de PowerShell que añade la carpeta de carga útil maliciosa a la lista de exclusión de Windows Defender (T1564.012). Finalmente, deshabilitan los servicios de seguridad centrales usando un comando encadenado de cmd.exe que detiene Windows Defender, el Centro de Seguridad de Windows, y cualquier AV de tercero (T1547.001 persistencia a través de la interrupción de servicio).

  1. Hollowing / Inyección de Procesos – simular lanzando usoclient64.exe con un script de PowerShell que duerme (representa el código inyectado).
  2. Añadir Exclusión a Defender – comando de PowerShell que coincide exactamente con el string de la regla.
  3. Detener Servicios de Seguridad – cmd.exe una línea única que detiene los servicios.

• Script de Test de Regresión:

  # -------------------------------------------------------------------------
  #  Script de Simulación – activa la regla Sigma para comportamiento similar a 10FXRAT
  # -------------------------------------------------------------------------
  
  # 1. Simular la inyección de usoclient64.exe (marcador de hollowing de proceso)
  $usoclient = "$env:SystemRootSystem32usoclient64.exe"
  Write-Host "[*] Lanzando usoclient64.exe (inyección simulada)..."
  Start-Process -FilePath $usoclient -ArgumentList "/RunDll32" -WindowStyle Hidden
  
  # 2. Comando de PowerShell que añade una exclusión a Defender (coincide con la regla)
  Write-Host "[*] Añadiendo ruta de exclusión a Windows Defender..."
  powershell.exe -NoP -NonI -W Hidden -C "Add-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # 3. Desactivar servicios de seguridad vía cmd (coincide con la regla)
  Write-Host "[*] Deteniendo servicios de seguridad..."
  cmd.exe /c "net stop WinDefend /y >nul 2>&1 & net stop wscsvc /y >nul 2>&1 & net stop Sense /y >nul 2>&1"
  
  Write-Host "[+] Simulación completa. Verifique alertas en el SIEM."

• Comandos de Limpieza:

  # -------------------------------------------------------------------------
  #  Limpieza – restaura la postura de seguridad normal
  # -------------------------------------------------------------------------
  
  # Eliminar la exclusión de Defender
  powershell.exe -NoP -NonI -W Hidden -C "Remove-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # Reiniciar servicios detenidos
  cmd.exe /c "net start WinDefend >nul 2>&1 & net start wscsvc >nul 2>&1 & net start Sense >nul 2>&1"
  
  # Opcionalmente matar la instancia inyectada de usoclient64.exe
  Get-Process -Name usoclient64 -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Limpieza terminada."