Comparativa de Dos Cargadores de Malware: De la Entrega de ClickFix al C2

Resumen

Los actores de amenaza dependen cada vez más de las técnicas ClickFix y TerminalFix para entregar cargadores de malware, incluidos Lorem Ipsum Loader y Axolotl Loader. Estos cargadores a menudo sirven como precursores para el despliegue de ransomware mediante la carga lateral de DLL, instaladores MSI y ejecución de Node.js. Las campañas también incorporan técnicas avanzadas de evasión, como el desenganche de ntdll y cargas útiles cifradas incrustadas dentro de secciones DLL personalizadas.

Investigación

Los investigadores analizaron muestras de Lorem Ipsum y Axolotl Loader para examinar sus cadenas de entrega y características técnicas. La investigación descubrió instaladores MSI troyanizados, scripts PowerShell de múltiples etapas y una .cpoc sección distintiva dentro de DLLs utilizada para el almacenamiento de recursos. El análisis comparativo también reveló diferencias en la comunicación C2, mecanismos de evasión y técnicas de persistencia entre las dos familias de cargadores.

Mitigación

Las organizaciones deben monitorear la telemetría de Sysmon para la carga lateral de DLL y relaciones de proceso padre-hijo sospechosas, incluyendo PowerShell lanzando archivos bat. Se recomienda implementar controles estrictos sobre la ejecución de instaladores MSI y detectar DLL no firmadas en directorios con permisos de escritura para el usuario. Los equipos de seguridad también deben inspeccionar el tráfico de red en busca de agentes de usuario inusuales, como Firefox/143, y patrones sospechosos de registro C2 asociados con infecciones activas.

Respuesta

Cuando se detecta actividad maliciosa, aíslen los hosts afectados y realicen análisis forenses de directorios con permisos de escritura para el usuario, como C:WindowsTemp o C:UsersPublic. Busquen tareas programadas y claves de ejecución en el Registro con nombres aleatorios. Realicen búsquedas retrospectivas en registros DNS y proxy para localizar dominios C2 e IPs conocidas que determinen el alcance del compromiso.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: Un adversario ha ganado acceso inicial y está intentando desplegar un cargador de malware modular. Para evadir AV basados en firmas simples, usa PowerShell para invocar un cargador personalizado. El cargador utiliza bibliotecas de tiempo de ejecución específicas (libgcc_s_seh-1.dll) y requiere banderas específicas (-AgentDll) para inicializar la carga útil en memoria. El objetivo del atacante es establecer una conexión C2 persistente cargando estos componentes a través de una cadena de ejecución impulsada por PowerShell.

• Script de Prueba de Regresión:

  # Script de Simulación para Validación de Detección
  # Este script imita el comportamiento definido en la regla Sigma
  
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  Write-Host "[+] Creando DLL dummy para simulación..."
  New-Item -Path $dllPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Ejecutando comando PowerShell para activar selección1 (nombre DLL en línea de comando)..."
  Start-Process powershell.exe -ArgumentList "-Command `& {Write-Output 'Cargando $dllPath'}`" -NoNewWindow
  
  Write-Host "[+] Ejecutando comando PowerShell para activar selección2 (bandera AgentDll)..."
  Start-Process powershell.exe -ArgumentList "-AgentDll -DepsDir C:Temp -Shim" -NoNewWindow
  
  Write-Host "[+] Simulación Completa."

• Comandos de Limpieza:

  # Script de Limpieza
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[+] DLL dummy limpiado."
  } else {
      Write-Host "[!] DLL no encontrado, no hay nada que limpiar."
  }