Los atacantes utilizan varias técnicas para eludir la seguridad basada en la reputación

Los controles de seguridad basados ​​en la reputación pueden ser menos efectivos de lo que muchos suponen para proteger a las organizaciones de aplicaciones y contenidos web inseguros.

Según un nuevo estudio realizado por investigadores de Elastic Security, los atacantes han desarrollado varias técnicas efectivas en los últimos años para eludir los mecanismos que bloquean o permiten aplicaciones y contenidos en función de su reputación y confiabilidad.

Varias técnicas disponibles

Las técnicas incluyen el uso de herramientas de malware firmadas digitalmente para que parezcan legítimas, así como el secuestro y la manipulación de la reputación y archivos LNK especialmente diseñados. «Los sistemas de protección basados ​​en la reputación son una capa poderosa para bloquear el malware básico», escribió Joe Desimone, investigador de Elastic Security. en un informe esta semana«Sin embargo, como cualquier tecnología de protección, tienen debilidades que pueden evitarse con un poco de cuidado».

Para el estudio, los investigadores utilizaron las tecnologías Microsoft Windows Smart App Control (SAC) y SmartScreen como ejemplos de un mecanismo basado en la reputación para el cual los atacantes han desarrollado soluciones.

SmartScreen es una característica que Microsoft introdujo con Windows 8 para proteger a los usuarios de aplicaciones de sitios web maliciosos y descargas de archivos. Comprueba si los archivos con el Señales de la web (MoTW) que contiene, o los archivos que Windows marca como descargados de Internet, son dignos de confianza. Control inteligente de aplicaciones convertirse disponible con Windows 11. Utiliza el servicio Threat Intelligence de Microsoft para determinar si una aplicación es lo suficientemente confiable para ejecutarse o no. Si la inteligencia sobre amenazas no puede determinar la confiabilidad de una aplicación, SAC verifica que la aplicación esté firmada digitalmente antes de permitir su ejecución.

Los investigadores de Elastic Security han descubierto que los atacantes pueden eludir estas protecciones de varias formas.

LNK pisa fuerte en MoTW

Un método común que utilizan los atacantes para eludir Smart App Control es firmar su malware con un certificado SSL de validación extendida (EV), según Elastic Security. Aunque las autoridades de certificación exigen una prueba de identidad antes de emitir un vehículo eléctrico a una empresa solicitante, los actores de amenazas han encontrado formas de eludir este requisito haciéndose pasar por empresas legítimas. En otros casos, han utilizado firmas de código no válidas y especialmente diseñadas en archivos JavaScript y MSI para eludir las comprobaciones de MoTW. Según Elastic Security, durante los últimos seis años, los atacantes también han explotado una vulnerabilidad en el manejo de archivos de acceso directo (LNK) de Windows para esencialmente eliminar el MoTW de los archivos LNK maliciosos y pasarlos por SmartScreen. La táctica se llamó “LNK Stomping”.

Otra táctica es el secuestro de reputación, en el que un atacante explota la reputación de aplicaciones, sitios web y otras entidades confiables. Elastic Security ha descubierto que en este tipo de ataques, los atacantes suelen apuntar a hosts de scripts confiables o programas que ejecutan scripts, como Lua, Node.js y AutoHotkey. La omisión implica colocar contenido malicioso donde el host de script confiable lo encontrará y ejecutará automáticamente en el curso normal. “Los servidores de scripts son un objetivo ideal para un ataque de secuestro de reputación. Esto es especialmente cierto si tienen una capacidad de interfaz de función externa (FFI)”, escribió Desimone. «Con FFI, los atacantes pueden cargar fácilmente código arbitrario y malware en la memoria y ejecutarlo».

Elastic Security también descubrió que los atacantes utilizaban una técnica llamada «siembra de reputación» para eludir los mecanismos de filtrado basados ​​en la reputación. En estos ataques, los atacantes primero introducen sus propios archivos binarios o ejecutables aparentemente inofensivos en un sistema objetivo y esperan a que con el tiempo construyan una reputación positiva. Otra variación es introducir una aplicación legítima con una vulnerabilidad conocida en un entorno de destino para su uso posterior. «Smart App Control parece ser vulnerable a la siembra», dijo Desimone en su informe. «Después de procesar una muestra en una máquina, recibió una buena etiqueta después de aproximadamente 2 horas».

El proveedor de seguridad recomienda que las organizaciones mejoren su seguridad mediante el uso de herramientas de análisis de comportamiento para monitorear tácticas de ataque comunes, como acceso a credenciales, enumeración, evasión en memoria, persistencia y movimiento lateral.