Por qué debería tener cuidado con la amenaza del malware EDRKillShifter
El panorama de la ciberseguridad ha sido testigo recientemente del surgimiento de una nueva y sofisticada herramienta de malware conocida como EDRKillShifter. Vinculada al notorio grupo de ransomware RansomHub, esta herramienta está diseñada para neutralizar el software de detección y respuesta de endpoints (EDR) en sistemas comprometidos. Al eliminar estas defensas de seguridad críticas, EDRKillShifter allana el camino para que los actores de amenazas intensifiquen sus ataques, lo que puede conducir a resultados devastadores.
EDRKillShifter forma parte de una tendencia más amplia entre los cibercriminales que están implementando cada vez más utilidades similares, como AuKill (también conocida como AvNeutralizer) y Terminator, para desactivar las soluciones EDR. Estas herramientas son particularmente peligrosas porque explotan controladores legítimos (componentes de software esenciales para el funcionamiento del hardware en un sistema) que son vulnerables al abuso. Este método, conocido como "traiga su propio controlador vulnerable" (BYOVD), permite a los atacantes entregar cargas útiles maliciosas sin levantar sospechas inmediatas.
Table of Contents
La mecánica de EDRKillShifter
La herramienta EDRKillShifter funciona como un ejecutable "cargador", un tipo de programa que envía un controlador legítimo pero vulnerable al sistema de destino. Este método de envío permite al malware eludir los mecanismos de seguridad aprovechando la legitimidad del controlador. Una vez ejecutada, la herramienta descifra un recurso integrado llamado BIN, que contiene una carga útil final escrita en el lenguaje de programación Go. Esta carga útil está ofuscada, lo que dificulta su detección y análisis. Tras la activación, explota varios controladores vulnerables para obtener privilegios elevados y desactivar el software EDR, desarmando de manera efectiva las defensas primarias del sistema.
Un análisis más detallado reveló que el archivo binario asociado con EDRKillShifter se compiló en un sistema con configuraciones de localización en ruso, lo que sugiere un posible origen del malware. Los controladores integrados, cruciales para el funcionamiento del malware, están ocultos dentro de la sección .data del ejecutable, lo que agrega otra capa de complejidad a su detección.
El contexto más amplio del cibercrimen
Se cree que RansomHub, el grupo de ciberdelincuencia detrás de EDRKillShifter, es una nueva marca del grupo de ransomware Knight, que apareció en febrero de 2024. Este grupo tiene un historial de explotación de vulnerabilidades de seguridad conocidas para obtener acceso inicial a los sistemas. Una vez dentro, suelen implementar herramientas de escritorio remoto legítimas como Atera y Splashtop para mantener el acceso persistente, lo que hace que sus actividades sean más difíciles de detectar.
Para aumentar la complejidad del panorama de amenazas, los recientes hallazgos de Microsoft han vinculado al infame sindicato de delitos electrónicos Scattered Spider con el uso de RansomHub y otras variedades de ransomware como Qilin. Esta conexión subraya las tácticas cambiantes de los cibercriminales, que continuamente están refinando sus métodos para eludir las medidas de seguridad.
Mitigación de la amenaza EDRKillShifter
Para protegerse contra amenazas como EDRKillShifter, es fundamental adoptar un enfoque de seguridad de varias capas:
- Actualizaciones periódicas: asegúrese de que todos los sistemas y el software estén actualizados con los últimos parches. Esto ayuda a eliminar las vulnerabilidades conocidas que el malware puede explotar.
- Habilitar protección contra manipulaciones: active las funciones de protección contra manipulaciones dentro del software EDR para evitar modificaciones no autorizadas o la desactivación de herramientas de seguridad.
- Implemente prácticas de seguridad de Windows estrictas: implemente una separación estricta entre los privilegios de usuario y administrador. Esto limita la capacidad de los atacantes de escalar privilegios y ejecutar controladores maliciosos.
- Mantenga un control de seguridad constante: monitoree continuamente la actividad de la red para detectar comportamientos inusuales, particularmente cualquier intento de cargar o ejecutar controladores, que podrían indicar un ataque en curso.
El auge de SbaProxy: una nueva capa de sigilo
Además de EDRKillShifter, se ha observado que los actores de amenazas están implementando un nuevo malware oculto llamado SbaProxy. Este malware es particularmente insidioso, ya que modifica binarios de antivirus legítimos de empresas de confianza como BitDefender, Malwarebytes y Sophos. Luego, estos binarios se vuelven a firmar con certificados falsificados, lo que permite que el malware establezca conexiones proxy a través de un servidor de comando y control (C2).
La función principal de SbaProxy es crear servicios proxy que enrutan el tráfico a través del servidor C2 y la máquina infectada, lo que facilita las actividades maliciosas. El malware solo admite conexiones TCP, pero su diseño sofisticado y su apariencia legítima hacen que sea difícil de detectar.
La aparición de EDRKillShifter y SbaProxy pone de relieve la creciente sofisticación de las amenazas cibernéticas a las que se enfrentan las organizaciones en la actualidad. Estas herramientas forman parte de un arsenal cada vez mayor que utilizan los cibercriminales para eludir las medidas de seguridad tradicionales y llevar a cabo sus actividades maliciosas sin ser detectados. Al mantenerse informadas sobre estas amenazas e implementar prácticas de seguridad sólidas, las organizaciones pueden proteger mejor sus sistemas de estos peligros en constante evolución.
