En el complejo entorno de la seguridad de Windows, los atacantes han encontrado nuevas formas de evadir las medidas de defensa. En lugar de buscar vulnerabilidades en aplicaciones comunes, ahora se centran en explotar fallos en controladores, componentes de software que operan con permisos elevados y pueden facilitar el acceso no autorizado a sistemas.
El caso del controlador Truesight.sys
Un grupo de atacantes ha aprovechado una vulnerabilidad en la versión 2.0.2 del controlador Truesight.sys, un componente que se usa comúnmente en sistemas Windows. Esta versión, aunque antigua, contiene código vulnerable que permite a los atacantes finalizar procesos desde el modo de usuario, lo cual puede ser explotado para desactivar soluciones de detección y respuesta.
Los atacantes han modificado ligeramente esta versión del controlador para crear más de 2.500 variantes únicas. Estas modificaciones incluyen cambios sutiles en la estructura del ejecutable portátil (PE), lo que garantiza que cada variante tenga un hash diferente. A pesar de estos cambios, la firma digital del controlador sigue siendo válida, lo que le da apariencia de legítimo y permite eludir los controles de seguridad.
La campaña se distribuyó principalmente a través de técnicas de phishing, como sitios web engañosos y canales de mensajería falsificados. Estas herramientas permitieron a los atacantes implantar malware en las etapas finales del ataque, lo que les otorgó control total sobre los dispositivos de sus víctimas.
Infraestructura y vinculación con grupos conocidos
Los atacantes operaron desde la infraestructura de una nube pública ubicada en la región de China. Esta elección probablemente buscaba proporcionar mayor control, estabilidad y posiblemente evadir las autoridades locales o agencias de seguridad.
Aproximadamente el 75% de las máquinas comprometidas eran organizaciones con sede en China, mientras que el resto se encontraba en otras partes de Asia. Las muestras iniciales de la campaña mostraron similitudes con campañas atribuidas al grupo Silver Fox, lo cual sugiere una posible vinculación entre ambas operaciones.
Respuesta y recomendaciones
Microsoft respondió a esta amenaza actualizando su lista de bloqueo de controladores vulnerables, incluyendo la versión 2.0.2 del Truesight.sys. Esta acción ayudó a mitigar el impacto de la campaña.
No obstante, se recomienda adoptar enfoques más avanzados para detectar amenazas complejas. El análisis de comportamiento, el escaneo heurístico y la verificación de integridad del controlador pueden ayudar a identificar actividades sospechosas incluso cuando las listas de bloqueo tradicionales no marcan el controlador.
La detección temprana del abuso de controladores vulnerables es clave para mitigar amenazas conocidas. Un enfoque preventivo puede ayudar a detectar y disuadir estas amenazas antes de que puedan causar daños significativos.