Los sistemas de protección basados en la reputación han sido diseñados para mejorar las capacidades de detección, manteniendo al mismo tiempo tasas bajas de falsos positivos. Sin embargo, como cualquier mecanismo de defensa, estos sistemas presentan debilidades que pueden ser explotadas por atacantes.
Salteo de SmartScreen/SAC
Microsoft SmartScreen ha sido una característica integrada del sistema operativo desde Windows 8. Funciona en archivos con la «Marca de la Web» (MotW) y en los que los usuarios hacen clic. Con el lanzamiento de Windows 11, Microsoft introdujo Smart App Control (SAC), que se considera una evolución de SmartScreen. SAC consulta un servicio en la nube de Microsoft para determinar si las aplicaciones son seguras o no. Si se desconocen, solo se ejecutarán si tienen una firma de código válida. Cuando SAC está habilitado, reemplaza y deshabilita Defender SmartScreen.
Malware firmado
Una forma de eludir los controles de aplicación inteligente es firmar el malware con un certificado de firma de código. Antes del lanzamiento de SAC, ya existía una tendencia a que los atacantes firmaran su malware para evadir la detección. Recientemente, los atacuentes han obtenido rutinariamente certificados de validación extendida (EV). Los EV requieren una prueba de identidad y solo pueden existir en tokens de hardware especialmente diseñados, lo que los hace difíciles de robar. Sin embargo, algunos atacantes han encontrado formas de hacerse pasar por empresas para adquirir estos certificados.
Alteración de la reputación
Otra forma de ataque contra sistemas basados en la reputación es la alteración de la reputación. Normalmente, los sistemas de reputación utilizan sistemas criptográficamente seguros de hash para que la alteración sea inviable. Sin embargo, con ciertas modificaciones a un archivo, la reputación SAC no cambia.
Algunas secciones de código pueden modificarse sin perder su reputación asociada. A través de prueba y error y uso de algoritmos de aprendizaje automático, es posible identificar segmentos que se pueden alterar de forma segura manteniendo la misma reputación.
LNK Stomping
Cuando un usuario descarga un archivo, el navegador crea un archivo «Zone.Identifier» asociado en un flujo de datos alternativo conocido como Mark of the Web (MotW). Esto permite que otros programas del sistema sepan que el archivo es más riesgoso. SmartScreen solo escanea archivos con MotW.
SAC bloquea por completo ciertos tipos de archivos si tienen MotW, lo que hace que los eludidores de MotW sean un objetivo de investigación interesante. Los grupos de amenazas han descubierto y aprovechado múltiples vulnerabilidades para eludir estos controles.
Durante una investigación, se encontró otra evasión de MotW que es fácil de explotar. Implica la creación de archivos LNK con rutas de destino o estructuras internas no estándar. Al hacer clic, explorer.exe modifica estos archivos LNK con el formato canónico, lo cual implica la eliminación de la etiqueta MotW antes de que se realicen los controles de seguridad.
La demostración más sencilla de este problema consiste en añadir un punto o un espacio a la ruta del ejecutable de destino. Otra posibilidad es crear un archivo LNK con una ruta relativa, como .\target.exe.
Después de hacer clic en el enlace, explorer.exe buscará y encontrará el nombre correspondiente, corregirá automáticamente la ruta completa, actualizará el archivo en el disco (eliminando MotW) y ejecutará el destino. El uso de LNK puede tener muchas variantes, lo que dificulta la detección basada en firmas en archivos LNK.
Se identificaron varias muestras en VirusTotal que presentan el error, lo que demuestra un uso incontrolado. La muestra más antigua identificada se envió hace más de 6 años. Todavía no está claro si el error se solucionará en una futura actualización de Windows.