es en ca es es pt es es es eo es es en es id en en es pt es es es eo es es en es es es es es es es es es es es es es es es gl es es es es es es es es es es fr es en en en es en en en
Investigadores descubren 'Process Ghosting': una nueva técnica de evasión de malware | CurosHacker.es
Noticias 1 de febrero de 2022
Process Ghosting amplía los métodos de omisión de puntos finales previamente documentados, como Process Doppelgänging y Process Herpaderping, lo que permite la ejecución velada de código malicioso que puede evadir las defensas y la detección antimalware.
Process Doppelgänging, análogo a Process Hollowing, implica inyectar código arbitrario en el espacio de direcciones de un proceso en vivo de una aplicación legítima que luego se puede ejecutar desde el servicio de confianza. Process Herpaderping, detallado por primera vez en octubre pasado, describe un método para ocultar el comportamiento de un proceso en ejecución modificando el ejecutable en el disco después de que la imagen se haya mapeado en la memoria.
La evasión funciona debido a «una brecha entre el momento en que se crea un proceso y el momento en que se notifica a los productos de seguridad sobre su creación», lo que brinda a los desarrolladores de malware una ventana para manipular el ejecutable antes de que los productos de seguridad puedan escanearlo.
Process Ghosting va un paso más allá de Doppelgänging y Herpaderping al permitir ejecutar ejecutables que ya se han eliminado. Aprovecha el hecho de que los intentos de Windows de evitar que los ejecutables mapeados se modifiquen o eliminen solo surten efecto después el binario se asigna a una sección de imagen.
«Esto significa que es posible crear un archivo, marcarlo para eliminarlo, asignarlo a una sección de imagen, cerrar el identificador del archivo para completar la eliminación y luego crear un proceso desde la sección ahora sin archivo», explicó Landau. «Esto es procesamiento fantasma».
En una demostración de prueba de concepto (PoC), los investigadores detallaron un escenario en el que Windows Defender intenta abrir un archivo ejecutable malicioso para escanearlo, pero no lo hace porque el archivo está pendiente de eliminación y luego falla. nuevamente ya que el archivo ya está eliminado, lo que permite que se ejecute sin obstáculos.
Elastic Security dijo que informó el problema al Microsoft Security Response Center (MSRC) en mayo de 2021, luego de lo cual el fabricante de Windows declaró que el problema «no cumple con su estándar de servicio», haciéndose eco de una respuesta similar cuando Process Herpaderping se reveló responsablemente a MSRC en julio de 2020.
Microsoft, por su parte, ha lanzado desde entonces una versión actualizada de su Sysinternals Suite a principios de enero con una utilidad System Monitor (también conocida como Sysmon) mejorada para ayudar a detectar los ataques Process Herpaderping y Process Hollowing.
Como resultado, las versiones 13.00 (y posteriores) de Sysmon ahora pueden generar y registrar «Event ID 25» cuando una pieza de malware manipula un proceso legítimo y si se cambia una imagen de proceso de un proceso diferente, con Microsoft señalando que el evento es activado «cuando la imagen asignada de un proceso no coincide con el archivo de imagen en el disco, o el archivo de imagen está bloqueado para acceso exclusivo».
La policía investiga un ‘incidente cibernético’ en el grupo médico de Guernsey
El ransomware GandCrab y el virus Ursnif se propagan a través de macros de MS Word
Investigadores lanzan herramienta que encuentra robots vulnerables en Internet
Nuevo exploit amenaza a más de 9000 enrutadores Cisco RV320 / RV325 hackeables en todo el mundo
El nuevo error de FaceTime permite que las personas que llaman lo escuchen y lo vean sin que usted responda
La policía cerró xDedic: un mercado en línea para los ciberdelincuentes
Deja una respuesta Cancelar la respuesta
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Guarda mi nombre, correo electrónico y web en este navegador para la próxima vez que comente.
Copyright © 2022, cursohacker.es | Aviso legal
Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática