Investigadores de seguridad han identificado una nueva variante de la técnica de secuestro de órdenes de búsqueda de biblioteca dinámica (DLL), que podría permitir a actores maliciosos eludir mecanismos de defensa y ejecutar código dañino en sistemas con Windows 10 o Windows 11. Esta técnica se relaciona con la categoría T1574 según el marco MITRE.
Exploitación mediante carpeta WinSxS
El método descubierto explota archivos ubicados en la carpeta confiable C:\Windows\WinSxS, que es parte del sistema operativo Windows y se utiliza para garantizar compatibilidad y actualización. Los actores de amenazas aprovechan el comportamiento de las aplicaciones al no especificar rutas completas a archivos DLL, sino que dependen del orden predefinido de búsqueda.
Al mover archivos binarios legítimos a directorios no estándar y colocar archivos DLL maliciosos con nombres similares, los atacantes logran que el sistema cargue la biblioteca maliciosa en lugar de la original. Esto se debe al orden de búsqueda utilizado por Windows para localizar y cargar las DLL.
Orden de búsqueda de DLL
El proceso de búsqueda de DLL sigue un orden específico, que incluye:
- El directorio desde el cual se inicia la aplicación.
- C:\Windows\System32
- C:\Windows\System
- C:\Windows
- El directorio de trabajo actual.
- Directorios enumerados en la variable de entorno PATH del sistema.
- Directorios enumerados en la variable de entorno PATH del usuario.
Al configurar un directorio personalizado que contenga una DLL maliciosa como el directorio actual, es posible activar su ejecución sin necesidad de copiar el archivo desde la carpeta WinSxS.
Impacto y recomendaciones
Security Joes advierte sobre la posibilidad de que existan otros archivos binarios en la carpeta WinSxS susceptibles a este tipo de ataque. Por ello, se recomienda supervisar las actividades de los archivos ubicados allí, especialmente sus comunicaciones de red y operaciones de archivo.
La empresa sugiere examinar las relaciones padre-hijo entre procesos y centrarse en binarios confiables para detectar posibles comportamientos anómalos. Esta técnica representa una forma más sutil y sigilosa de explotación, que se aleja del uso tradicional de métodos bien conocidos.
El descubrimiento destaca la importancia de mantener actualizaciones y monitoreo en entornos Windows para mitigar riesgos asociados a esta nueva variante de secuestro de orden de búsqueda de DLL.