La caza de malware revela un cargador de rootkit universal sigiloso

Resumen

Un cargador rootkit firmado recientemente descubierto por Microsoft permite a los atacantes desplegar módulos del kernel no firmados en sistemas comprometidos. El malware utiliza un controlador de primera etapa para comunicarse con la infraestructura C2 y cargar complementos de segunda etapa directamente en la memoria. Este modelo de ejecución sigiloso ayuda a eludir la detección basada en disco mientras mantiene un acceso altamente privilegiado al nivel del kernel.

Investigación

Los investigadores identificaron un grupo de controladores firmados que abusaban del Programa de Compatibilidad de Hardware de Windows (WHCP) para obtener firmas legítimas de Microsoft. La investigación descubrió un modelo de ejecución en dos etapas en el que un cargador firmado maneja la inyección de controladores de kernel personalizados y no firmados. El análisis de código e infraestructura también reveló similitudes con el rootkit FiveSys documentado anteriormente.

Mitigación

Las organizaciones deben monitorear la carga de controladores en modo kernel sospechosos o no autorizados y las modificaciones inesperadas del registro que afectan los servicios de seguridad. Es crucial desplegar una detección en el endpoint capaz de identificar la carga de módulos solo en memoria para detectar esta actividad. Limitar el uso de controladores firmados por WHCP de proveedores desconocidos o no confiables puede reducir aún más la exposición.

Respuesta

Cuando se detecta esta actividad, aísle los sistemas afectados para interrumpir la comunicación C2 y prevenir el movimiento lateral. Realice forense de memoria para identificar módulos del kernel inyectados que pueden no haber sido escritos en el disco. Revise la integridad del registro, prestando especial atención a las Opciones de Ejecución de Archivos de Imagen y cambios no autorizados a las políticas de seguridad.

Ejecución de Simulación

• Narrativa de Ataque & Comandos: El adversario pretende desplegar un componente rootkit que enmascara su presencia comunicándose con un controlador malicioso. Para eludir la detección tradicional basada en archivos, el atacante utiliza un enfoque de «Vivirse del terreno», usando un script de PowerShell para interactuar con un controlador que ha sido cargado lateralmente en el kernel. El script apunta específicamente al IRP_MJ_DEVICE_CONTROL manejador enviando un código IOCTL (Control de Entrada/Salida) elaborado, imitando el patrón de comunicación del cargador rootkit identificado para establecer un canal de comando y control y desactivar características de seguridad.

• Script de Prueba de Regresión:

  # Script de simulación para imitar la comunicación del controlador del cargador rootkit
  # Nota: Esto requiere que esté presente un controlador que responda a estos patrones específicos 
  # o que simule las llamadas del manejador IRP a través de un controlador simulado.
  
  $SymbolicName = "x1cx1c??x1ceae971b87"
  Write-Host "[+] Simulando interacción con el controlador con Nombre Simbólico: $SymbolicName"
  
  # En un escenario real, esto implicaría llamar a DeviceIoControl vía P/Invoke
  # Para propósitos de simulación/pruebas, simulamos el disparador de telemetría
  $signature = @{
      SymbolicName = "x1cx1c??x1ceae971b87"
      IOControlHandler = "IRP_MJ_DEVICE_CONTROL"
      ShutdownHandler = "IRP_MJ_SHUTDOWN"
  }
  
  Write-Host "[+] Enviando IOCTL elaborado para disparar la detección..."
  # Lógica para simular la generación de eventos del kernel para el Nombre Simbólico específico
  # Esta parte es conceptual para que el agente BAS dispare la entrada de registro específica
  New-EventLog -LogName "Microsoft-Windows-Sysmon" -Source "Sysmon" # Simulando disparador

• Comandos de Limpieza:

  # Eliminar archivos temporales o artefactos de controladores simulados
  Remove-Item -Path "$env:TEMProotkit_sim.tmp" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpieza completa."