Secretos de Esteganografía: Malware Oculto a Simple Vista

Ejecución de Simulación

Requisito previo: La verificación pre-vuelo de Telemetría y Línea Base debe haber pasado.

Racionalidad: Esta sección detalla la ejecución precisa de la técnica de adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y tienen como objetivo generar la telemetría exacta esperada por la lógica de detección.

• Narrativa y Comandos del Ataque:

  1. Preparación – Carga Esteganográfica:
     El atacante incrusta un Remcos RAT DLL compilado dentro de un JPEG benigno utilizando una herramienta personalizada (StegoEmbed.exe). El archivo resultante (malicious.jpg) lleva la carga maliciosa en sus datos de píxeles.

  2. Entrega – Ejecución del Cargador DotNET:
     El atacante ejecuta un cargador basado en .NET (dotnet.exe) que hace referencia a la imagen estego e incluye el argumento Loader. El cargador lee la imagen, extrae el DLL incrustado y lo carga directamente en la memoria (ejecución en memoria) sin escribir en disco, consiguiendo así la elevación de privilegios mediante un exploit (T1068).

  3. Resultado – Baliza RAT:
     Una vez en la memoria, el Remcos RAT establece una conexión de red con el servidor C2.

  La telemetría crítica generada es un evento de creación de procesos donde:

  • Imagen (NombreProceso) contiene DotNET (dotnet.exe).
  • Línea de Comando contiene la palabra literal Loader.

  Esto cumple la regla Sigma de selección_cargador_dotnet.

• Script de Prueba de Regresión:

  # ---------------------------------------------------------
  # Script de Simulación – Cargador DotNET con Esteganografía (T1027.003)
  # ---------------------------------------------------------
  # 1. Crear una imagen estego ficticia (campo de marcador de posición – incrustación real no requerida)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. Ejecutar el cargador .NET con el flag requerido
  #    Usando el dotnet.exe legítimo para imitar el nombre de imagen “DotNET”.
  #    El argumento “Loader” activa la regla Sigma.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] Lanzando cargador dotnet con argumento: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. Esperar un corto período para asegurar que el proceso sea capturado por Sysmon
  Start-Sleep -Seconds 5
  
  # 4. OPCIONAL: Simular baliza RAT (tráfico de red) – no requerido para prueba de regla
  # ---------------------------------------------------------
  Write-Host "[*] Simulación completa. Verificar alerta en SIEM."

• Comandos de Limpieza:

  # ---------------------------------------------------------
  # Limpieza – eliminar imagen estego temporal y detener cualquier proceso restante del cargador
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # Eliminar la imagen temporal
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] Borrado $stegoPath"
  }
  
  # Detener cualquier proceso dotnet iniciado por este script (identificados por el argumento "Loader")
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] Proceso terminado ID $($_.Id)"
      }
  # ---------------------------------------------------------