Herramientas del Backdoor Lindnor y Eliminadoras de Seguridad Usadas en un Ataque de Ransomware en EE.UU.

Resumen

Un ataque de ransomware contra una organización de EE. UU. involucró al ransomware Anubis y un nuevo backdoor personalizado identificado conocido como Backdoor.Lindnor. Los atacantes desplegaron múltiples herramientas de Traiga Su Propio Controlador Vulnerable (BYOVD) y ejecutables para deshabilitar la seguridad y obtener acceso a nivel de kernel. La intrusión finalmente fue interrumpida antes de que pudiera comenzar la etapa de cifrado del ransomware.

Investigación

La investigación comenzó después de que se detectara el backdoor Lindnor en dos sistemas Microsoft SQL Server. Los analistas encontraron que los atacantes disfrazaron el malware como componentes relacionados con Chrome y VMware mientras desplegaban varias herramientas diseñadas para terminar los servicios de seguridad. También se observó software legítimo de acceso remoto como AnyDesk, configurado para operar en Modo Seguro.

Mitigación

Las organizaciones deben configurar controles de seguridad para bloquear la carga no autorizada de controladores y reducir la exposición a las técnicas de BYOVD. Los controles estrictos de ejecución para controladores no firmados o conocidos como vulnerables son esenciales. Los equipos de seguridad también deben monitorear herramientas de acceso remoto no autorizadas y cambios sospechosos en el registro asociados con la persistencia o ejecución en Modo Seguro.

Respuesta

Cuando se detecta actividad maliciosa, aísle los sistemas SQL Server afectados y audite los ejecutables y controladores instalados recientemente. Realice una búsqueda exhaustiva del backdoor Lindnor y archivos relacionados como healthcontroller64.exe or svchelper.exe. Revise las claves de registro para modificaciones relacionadas con AnyDesk e investigue la creación de cuentas de usuario locales no autorizadas.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario ha obtenido acceso inicial y pretende establecer un canal de acceso remoto persistente que sobreviva a un reinicio en Modo Seguro. Para evadir la detección del monitoreo estándar de carpetas de inicio, el atacante apunta a las configuraciones del registro de arranque seguro de Windows. Utilizan reg.exe para inyectar un nuevo valor en la clave de registro SafeBootNetwork , nombrándolo específicamente «AnyDesk» y configurándolo como «Service». Esto asegura que cuando un técnico o el atacante active Modo Seguro, AnyDesk se inicie automáticamente, proporcionando una puerta trasera mientras la suite de seguridad principal está inactiva.

• Script de Prueba de Regresión:

  # Script de simulación para imitar la persistencia de AnyDesk en Modo Seguro a través de reg.exe
  # Este comando coincide con las cadenas específicas en la lógica de detección.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Ejecutando comando de simulación: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Éxito: Se debería haber generado telemetría."
  } else {
      Write-Host "[-] Fracaso: Comando fallido. Asegúrese de que el script se ejecuta como Administrador."
  }

• Comandos de Limpieza:

  # Script de limpieza para eliminar la clave de registro simulada
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Limpiando: Eliminando $registryPath"
  reg delete "$registryPath" /f