Los piratas informáticos apuntan a los jugadores chinos con rootkit firmado por Microsoft

Una nueva campaña dirigida a usuarios de juegos en China es el último ejemplo de cómo los actores de amenazas utilizan cada vez más sofisticados rootkits para ocultar cargas maliciosas, desactivar herramientas de seguridad y mantener la persistencia en los sistemas de las víctimas.

En este caso, el nuevo rootkit tiene una firma digital válida de Microsoft, lo que significa que se puede cargar con éxito en sistemas con versiones más nuevas de Windows sin bloquearse ni activar advertencias de seguridad. Puede descargar otros controladores en modo kernel sin firmar directamente en la memoria, incluido uno diseñado para apagar el software Windows Defender en los sistemas de destino para que el actor de amenazas luego implemente el malware de segundo nivel de su elección en ellos y mantenga la capacidad de persistencia.

Amenaza de controlador en modo kernel

Los investigadores de Trend Micro descubrieron recientemente el controlador de kernel malicioso dirigido a los usuarios de juegos en China e informaron su descubrimiento a Microsoft el mes pasado. Creen que el actor de amenazas desconocido detrás de él también está detrás de un rootkit similar de 2021 diseñado para monitorear y redirigir el tráfico web. CincoSysque también apuntó al sector del juego chino.

El nuevo malware es uno de un número creciente de controladores de kernel firmados por Microsoft que los investigadores de seguridad han descubierto en los últimos dos años. Otros ejemplos son: Mal Inténtalo, un rootkit informado por Mandiant en diciembre pasado que los actores de amenazas usan de varias maneras, incluso para propagar ransomware; Y filtro de red para la redirección de IP; y FiveSys. El pasado mes de diciembre, Sophos anunció una Controlador de Windows firmado por Microsoft Diseñado para matar el software antivirus y las herramientas de seguridad de punto final en los sistemas de destino. Muchos asumen que los atacantes utilizarán cada vez más este tipo de herramientas porque las herramientas de punto final se han vuelto muy efectivas para detectar amenazas enviadas a través de otros vectores.

Muchas de estas herramientas están dirigidas al sector del juego en China, por ejemplo, el robo de credenciales y el fraude de geolocalización en el juego. Sin embargo, no hay ninguna razón por la que un actor de amenazas no pueda aprovecharlos en otras regiones y para una variedad de otros casos de uso malicioso.

«Si bien la creación de tales capacidades es compleja, parece que los actores maliciosos actuales demuestran competencia y usan constantemente tales herramientas, tácticas y procedimientos (TTP), independientemente de sus motivos y objetivos finales», dice Mahmoud zohdy, investigador de Trend Micro. Sherif Magdy y Mohamed Fahmy escribió esta semana.

Cargador universal de rootkits

Los investigadores identificaron el nuevo malware que descubrieron como un controlador de kernel independiente que actúa como un cargador universal de rootkits. El controlador de la primera etapa, el que está firmado por Microsoft, se comunica con los servidores de comando y comunicación (C2) a través de Windows Socket Kernel, una interfaz de programación de red en modo kernel. «Utiliza un algoritmo DGA (algoritmo de generación de dominio) para generar diferentes dominios», dijeron los tres investigadores. «Si una dirección no se puede resolver, se conecta directamente a las IP de Fallout que están codificadas en el controlador».

El controlador de primera etapa actúa como cargador para un controlador de segunda etapa autofirmado. Dado que el controlador de la segunda etapa se descarga sobre el controlador de la primera etapa firmado, omite el cargador de controladores nativo de Windows y se carga directamente en la memoria. Luego, el malware inicia una serie de pasos para mantener la persistencia y eliminar todos los rastros de su presencia del disco duro.

Trend Micro declaró que debido a varias similitudes entre las dos herramientas de malware, pudo asociar el nuevo malware con el actor FiveSys. Tanto el rootkit FiveSys como el rootkit de segunda etapa asociado con el nuevo malware redirigen el tráfico del navegador web a un servidor controlado por un atacante. Según Trend Micro, ambos pueden monitorear el tráfico web e incluir funciones de sistema de archivos.

Cuentas de desarrollador fraudulentas

microsoft tiene culpó al problema Controladores maliciosos firmados por Microsoft en cuentas de desarrolladores no autorizados como parte de su programa de afiliados. Según la compañía, «múltiples cuentas de desarrollador del Centro de socios de Microsoft (MPC) estuvieron involucradas en el envío de controladores maliciosos para obtener una firma de Microsoft». lanzó actualizaciones para detectar y bloquear los controladores maliciosos.

En un nuevo giro, Cisco Talos anunció esta semana que había descubierto actores de amenazas que utilizan herramientas de falsificación de firmas digitales de código abierto para alterar la fecha de firma de los controladores en modo kernel de Microsoft e implementarlos por miles. La empresa vinculó la actividad a una Vulnerabilidad en la firma del controlador de Windows de Microsoft Política. La política básicamente establece que Windows no cargará nuevos controladores a nivel de kernel a menos que estén firmados a través del Portal de desarrollo de Microsoft. Sin embargo, la política proporciona una excepción que permite «firmar y cargar controladores de modo kernel con firma cruzada con marcas de tiempo de firma anteriores al 29 de julio de 2015», dijo Cisco. Los actores de amenazas abusan de las vulnerabilidades para firmar controladores, incluidos los caducados, para que se incluyan en la excepción de la política y luego los usan para propagar malware.