Investigadores de ciberseguridad han identificado que actores de amenazas están aprovechando una vulnerabilidad ya corregida en Microsoft Windows para desplegar el malware PipeMagic en ataques de ransomware RansomExx. La explotación se basa en la vulnerabilidad CVE-2025-29824, un error de escalamiento de privilegios que afecta al Sistema de Archivos de Registro Común (CLFS) de Windows.
Detalles técnicos sobre la vulnerabilidad
CVE-2025-29824 fue corregida por Microsoft en abril de 2025, según informaron Kaspersky y BI.ZONE en un informe conjunto. Esta vulnerabilidad es la segunda falla de día cero de Windows que se distribuye a través de PipeMagic, tras CVE-2025-24983, otro error de escalamiento de privilegios del subsistema Win32.
Historial y evolución del malware
PipeMagic fue documentado por primera vez en 2022 como parte de los ataques de ransomware RansomExx, dirigidos a empresas industriales del sudeste asiático. Este malware actúa como una puerta trasera completa, permitiendo acceso remoto y la ejecución de comandos en sistemas comprometidos.
En algunos casos, los atacantes han utilizado CVE-2017-0144, una vulnerabilidad de ejecución remota de código en Windows SMB, para infiltrarse en las redes de las víctimas. En octubre de 2024 se detectaron cadenas de infección que empleaban una aplicación falsa de OpenAI ChatGPT como cebo.
Características del malware
PipeMagic es un archivo MSBuild malicioso que contiene una carga útil cifrada. Esta carga se descomprime para ejecutar el malware, que opera como un troyano modular basado en plugins. Los atacantes utilizan un dominio alojado en Microsoft Azure para preparar componentes adicionales.
El cargador del malware descomprime código C# que descifra y ejecuta el shellcode incrustado, permitiendo la inyección de código ejecutable para sistemas Windows de 32 bits o la carga de un ejecutable sin cifrar dentro del propio shellcode.
Metodología de ataque
Kaspersky informó haber descubierto artefactos del cargador de PipeMagic que se hacen pasar por un cliente ChatGPT en 2025, similares a los detectados previamente en octubre de 2024. Las muestras utilizan técnicas de secuestro de DLL para ejecutar una DLL maliciosa que imita un archivo de actualización de Google Chrome.
Los ataques de 2025, dirigidos a Arabia Saudita y Brasil, se basan en un archivo de índice de ayuda de Microsoft (metafile.mshi) como cargador. Los atacantes también utilizaron la herramienta ProcDump, renombrada como dllhost.exe, para extraer memoria del proceso LSASS.
Módulos y funcionalidades de PipeMagic
- Un módulo de comunicación asíncrona que admite cinco comandos para finalizar el complemento, leer/escribir archivos o finalizar todas las operaciones de archivo.
- Un módulo de carga para inyectar cargas útiles adicionales en la memoria y ejecutarlas.
- Un módulo de inyección para lanzar un ejecutable de C#.
Los investigadores destacaron que la detección repetida de PipeMagic en ataques a organizaciones en Arabia Saudita y su aparición en Brasil indican que el malware permanece activo y que los atacantes continúan desarrollando su funcionalidad.