De W-2 a BYOVD: Cómo una búsqueda fiscal conduce a la eliminación de AV/EDR en modo kernel

Resumen

Una amplia operación de malvertising abusa de los anuncios de Google vinculados a búsquedas de formularios fiscales para distribuir un instalador falso de ScreenConnect. Ese instalador despliega un ofuscador de múltiples fases, que luego carga una utilidad BYOVD llamada HwAudKiller. La herramienta instala un controlador de audio de Huawei firmado y utiliza acceso a nivel del kernel para terminar procesos de AV y EDR. Una vez que los controles de seguridad están deshabilitados, los atacantes extraen credenciales de LSASS y recopilan credenciales a través de la red con NetExec. La actividad resalta cómo la entrega de malware de mercado puede emparejarse con un controlador de kernel personalizado para obtener acceso sigiloso, suprimir defensas y mantener la persistencia.

Investigación

Los investigadores de Huntress siguieron la ruta de redirección desde anukitax.com to bringetax.com y confirmaron la entrega de un paquete MSI fraudulento de ScreenConnect. El archivo dropped crypteds.exe utiliza un truco de asignación de memoria de 2 GB para evadir detección y lanza shellcode indirectamente a través de timeSetEvent antes de cargar HwAudKiller. Esa carga escribe Havoc.sys en %TEMP% y registra un servicio del kernel llamado Havoc para terminar una lista codificada de procesos de seguridad. En una segunda intrusión, los atacantes obtuvieron acceso a través de una vulneración de VPN, reutilizaron el mismo controlador, ampliaron la lista de eliminación para incluir procesos de FortiEDR, extrajeron LSASS usando comsvcs.dll, y se movieron lateralmente con NetExec.

Mitigación

Las organizaciones deben bloquear o permitir estrictamente las implementaciones legítimas de ScreenConnect y monitorear los nombres de host de instancias de prueba-* desconocidos. Los equipos de seguridad deben observar los controladores de kernel cargados desde rutas temporales y alertar sobre la actividad de instalación de servicios de Windows y el Evento ID 6 de Sysmon. Se deben imponer controles de ejecución estrictos sobre los archivos escritos en C:WindowsSystemTempScreenConnect y %TEMP%. Además, los esfuerzos de concienciación del usuario deben reforzar que los resultados de búsqueda de anuncios de Google no deben considerarse fuentes confiables para descargas relacionadas con impuestos.

Respuesta

Si se encuentra un instalador de ScreenConnect malicioso, aísle inmediatamente el punto final, recolecte crypteds.exe y cualquier controlador Havoc.sys ejecutado, y detenga el servicio Havoc. Comience los procedimientos de restablecimiento de credenciales para cuentas potencialmente comprometidas y revoque el acceso expuesto. Luego, escanee el entorno más amplio para detectar conexiones adicionales de relé de ScreenConnect, ejecución de NetExec y signos de volcado de LSASS. Finalmente, documente y comparta los IOCs descubiertos con canales internos y externos de inteligencia de amenazas.

Ejecución de Simulación

Requisito Previo: La Comprobación de Pre‑vuelo de Telemetría y Línea de Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:

  1. Acceso Inicial vía Malvertising: La víctima hace clic en un anuncio malicioso mientras busca formularios fiscales, lo que desencadena una descarga a través de drive‑by de form_w9.msi.
  2. Instalación de Software Falso: El MSI instala silenciosamente una herramienta de soporte remoto similar a ScreenConnect y suelta crypteds.exe and sent.exe en el directorio %TEMP% .
  3. Recolección de Credenciales: crypteds.exe es lanzado para volcar los Secretos de LSA.
  4. Carga de DLL por Lado usando Rundll32: Para evadir la detección estática, el atacante carga una DLL maliciosa usando rundll32.exe con la DLL del sistema comsvcs.dll como punto de entrada, que ejecutará la carga útil incrustada.

  Los comandos exactos (simulados en una máquina de prueba) son:

  # 1. Desplegar el MSI malicioso (simulado)
  Start-Process -FilePath "C:Tempform_w9.msi" -ArgumentList "/quiet" -Wait
  
  # 2. Lanzar la herramienta de volcado de credenciales
  Start-Process -FilePath "$env:TEMPcrypteds.exe" -ArgumentList "/dump" -Wait
  
  # 3. Cargar la carga útil maliciosa via rundll32 usando comsvcs.dll
  rundll32.exe "C:windowsSystem32comsvcs.dll",LaunchApplication "$env:TEMPsent.exe"

• Script de Prueba de Regresión: El script a continuación automatiza los pasos anteriores y asegura que la telemetría generada coincida con las expectativas de la regla de detección.

  # Script de Prueba de Regresión – Simula la Campaña de Malvertising
  # -----------------------------------------------------------
  # 0. Requisito previo: Asegúrese de que Sysmon esté ejecutándose con el registro de línea de comandos habilitado.
  
  # Variables
  $msiPath   = "$env:TEMPform_w9.msi"
  $dumpTool  = "$env:TEMPcrypteds.exe"
  $payload   = "$env:TEMPsent.exe"
  $dllPath   = "C:windowsSystem32comsvcs.dll"
  
  # Ayudante: Crear archivos falsos para imitar los binarios maliciosos
  New-Item -Path $msiPath   -ItemType File -Force | Out-Null
  New-Item -Path $dumpTool  -ItemType File -Force | Out-Null
  New-Item -Path $payload   -ItemType File -Force | Out-Null
  
  Write-Host "[*] Instalando MSI malicioso (simulado)..."
  Start-Process -FilePath "msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet" -Wait
  
  Write-Host "[*] Ejecutando herramienta de volcado de credenciales..."
  Start-Process -FilePath $dumpTool -ArgumentList "/dump" -Wait
  
  Write-Host "[*] Realizando carga de DLL por lado usando rundll32..."
  rundll32.exe "`"$dllPath`"",LaunchApplication "`"$payload`""
  
  Write-Host "[+] Simulación completa. Verifique la detección a través del SIEM."

• Comandos de Limpieza: Remueva los artefactos falsos y detenga cualquier proceso restante.

  # Script de Limpieza
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # Terminar cualquier proceso rundll32 restante generado por la prueba
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force