El software de seguridad y las funciones de protección que nos proporcionan las aplicaciones instaladas en nuestros equipos, no paran de mejorar. Pero a pesar de los esfuerzos de las empresas responsables, parece que los actores maliciosos siempre van un paso por delante.
Y es que los diferentes códigos y tipos de malware que nos podemos encontrar hoy día, son mucho más complejos que antaño. Esta es una tendencia presente desde hace mucho tiempo, todo con el fin de hacerse con el control de nuestros equipos, datos personales, e incluso dinero. A continuación os vamos a hablar de dos nuevas amenazas recientemente detectadas que por el momento se podrían considerar como invisibles.
XWorm, el malware que evita los sistemas de detección
En primer lugar, nos vamos a centrar en el código malicioso conocido como XWorm. En realidad se trata de una evolución de las operaciones del malware XWorm, que integra tácticas avanzadas para evadir los sistemas de detección actuales. De hecho, el Centro de Investigación Avanzada de Trellix ha descubierto un cambio significativo en la estrategia de implementación de este malware. Ahora tiende más hacia métodos de infección más engañosos y complejos. Evidentemente, todo ello con el fin de aumentar las tasas de éxito, y sin ser detectado.
XWorm se ha basado tradicionalmente en mecanismos de distribución predecibles, pero campañas recientes demuestran una transformación radical. Ahora usa nombres de archivos ejecutables de apariencia legítima para camuflarse como una aplicación inofensiva. Todo para ganarse la confianza tanto de los usuarios y sistemas. Combina la ingeniería social con vectores de ataque técnicos, yendo más allá de los ataques convencionales basados en un simple correo electrónico.
El ataque empieza con un archivo .lnk oculto que se distribuye a través de campañas de phishing. Al ejecutarse, se activan comandos maliciosos de PowerShell que inician una compleja reacción en cadena. Así, se descarga un archivo de texto en el directorio temporal del sistema antes de bajar un ejecutable falso llamado discord.exe desde un servidor remoto. Este fichero usa técnicas de empaquetado.NET haciéndose pasar por el icono legítimo de una aplicación de Discord.
Al ejecutarse, descarga dos archivos maliciosos adicionales que contienen la carga útil real de XWorm. Así, ya puede comprometer el sistema desactivando el Firewall de Windows mediante modificaciones del registro. También implementa técnicas avanzadas de evasión para convertirse en indetectable. Usa comandos de PowerShell para agregarse a las listas de exclusión de Windows Defender, evadiendo así la monitorización en tiempo real por parte del antivirus instalado.
A partir de ahí, los atacantes pueden ejecutar comandos remotos, incluyendo apagados del sistema, descargas de archivos, redirecciones de URL y ataques DDoS.
Así de dañino es el nuevo malware NotDoor
Por otro lado, nos encontramos con el nuevo malware al que se ha denominado como NotDoor. Su funcionamiento se centra en los usuarios de Outlook para robar datos y comprometer el sistema operativo. Es un sofisticado malware de puerta trasera que ataca específicamente a los usuarios de Microsoft Outlook. Esto permite a los atacantes robar datos confidenciales y obtener el control total de los sistemas comprometidos. Su desarrollo se atribuye a APT28, un conocido grupo ruso de ciberespionaje.
El descubrimiento de este nuevo malware llegó de la mano de LAB52, la unidad de inteligencia de amenazas de la firma española S2. A partir de ahí ya sabemos que NotDoor es un malware oculto escrito en Visual Basic para Aplicaciones VBA habitual para automatizar tareas en las aplicaciones de Office. Opera monitorizando los correos entrantes en busca de palabras clave específicas.
Cuando detecta un correo de interés, el malware se activa y permite a los atacantes ejecutar comandos maliciosos en el equipo de la víctima. A partir de ahí emplea varias técnicas avanzadas para evitar la detección por parte de los antivirus.
- Ofuscación de código. El código del malware se codifica con nombres de variables aleatorios.
- Carga lateral de DLL. El malware explota un binario legítimo y firmado de Microsoft llamado OneDrive.exe para cargar archivos DLL maliciosos.
- Modificación del registro. NotDoor altera la configuración del registro de Outlook, desactivando las advertencias de seguridad sobre macros.
En ese momento el malware abusa de las funciones de Outlook para mantener su persistencia y permanecer oculto. Una vez activo, crea un directorio oculto para almacenar archivos temporales controlados por el atacante. Según los expertos, para protegernos de este código malicioso, es importante deshabilitar las macros por defecto, ya que esto elimina el principal vector de ataque.
Dado que XWorm explota PowerShell y las exclusiones de Windows Defender, se recomiendan las siguientes medidas de protección:
- Habilitar el Acceso controlado a carpetas de Microsoft Defender.
- Restringir la ejecución de PowerShell mediante políticas de grupo.
- Monitorizar las exclusiones del antivirus.
| Característica | XWorm | NotDoor |
|---|---|---|
| Vector de Ataque | Archivos .lnk maliciosos en campañas de phishing | Macros VBA en correos de Microsoft Outlook |
| Técnica Principal | Uso de PowerShell para descargar payloads y modificar el sistema | Carga lateral de DLLs usando OneDrive.exe legítimo |
| Técnica de Evasión | Se auto-añade a exclusiones de Windows Defender | Ofuscación de código VBA y desactivación de alertas de macros |
| Atribución | No especificada (campañas de cibercrimen) | APT28 (Fancy Bear), inteligencia militar rusa (GRU) |