Redacción
La firma de ciberseguridad Proofpoint ha identificado un nuevo servicio de ocultación de código malicioso denominado Cruciferra, el cual es utilizado por diversas organizaciones delictivas para evadir los controles de protección corporativos y aumentar la tasa de éxito de sus infecciones. Este hallazgo subraya la constante evolución de las tácticas empleadas para penetrar en las redes de las instituciones.
Esta herramienta se integra en el modelo de software malicioso como servicio facilitando la distribución de troyanos y programas de robo de información conocidos, tales como: AsyncRAT, Remcos, XWorm, Agent Tesla, Formbook o zgRAT. Su comercialización en estos circuitos clandestinos permite a los atacantes disponer de capacidades técnicas muy avanzadas sin la necesidad de invertir recursos en desarrollarlas por su cuenta. Lo que rebaja significativamente la barrera de entrada para la ejecución de campañas de intrusión complejas.
Para lograr su objetivo y ocultar la carga útil que infecta los equipos, este sistema emplea más de 90 variantes de algoritmos criptográficos personalizados que dificultan enormemente el análisis estático y la detección basada en firmas. La herramienta construye estas protecciones mediante una combinación dinámica de componentes procedentes de distintos métodos de cifrado, lo que disminuye drásticamente la eficacia de muchas soluciones de seguridad tradicionales.
El análisis técnico del código revela un amplio abanico de técnicas diseñadas para entorpecer las labores de respuesta ante incidentes. Entre los mecanismos integrados en este desarrollo se encuentran las llamadas indirectas al sistema, la neutralización de las interfaces de programación de aplicaciones, la manipulación de las plataformas de detección y respuesta en los puestos de trabajo. Así como diversas rutinas para garantizar la escalada de privilegios y la persistencia en las máquinas comprometidas reduciendo al máximo el rastro forense.
El vector de entrada de las campañas observadas es el correo electrónico dirigido a entidades financieras, sanitarias y administraciones públicas. Los mensajes de estos ataques incluyen archivos comprimidos que alojan un programa ejecutable legítimo junto a una biblioteca de vínculos dinámicos modificada con fines maliciosos. Una vez que el usuario interactúa con el archivo, el sistema emplea la técnica de carga lateral para activarse. En ese instante, el programa verifica que no se encuentra en un entorno aislado de pruebas o en una máquina virtual de investigación y, superada esta comprobación de seguridad, procede a la descarga y ejecución del código dañino final.
Los especialistas que han llevado a cabo la investigación subrayan que el descubrimiento de versiones de prueba demuestra un desarrollo activo para eludir las nuevas defensas. La detección de variantes experimentales evidencia que los creadores de esta plataforma adaptan su código continuamente frente a las mejoras en las herramientas de protección corporativas. Por este motivo, los analistas recomiendan a los responsables de tecnología que prioricen la monitorización de comportamientos anómalos en sus redes y que integren plataformas de protección con fuentes de inteligencia de amenazas, con el fin de bloquear estas nuevas variantes antes de que logren un despliegue masivo en la infraestructura de la organización.
