ztevenreal
- Netsh.exe es la útil de Windows más abusada, y todavía se esconde a la horizonte
- PowerShell aparece en el 73% de los puntos finales, no solo en las manos de agencia
- El sorprendente regreso de WMIC muestra a los atacantes favorece las herramientas que ya nadie está mirando
Un nuevo investigación de 700,000 incidentes de seguridad ha revelado cuán extensamente los cibercriminales explotan las herramientas de confianza de Microsoft para violar los sistemas.
Si acertadamente la tendencia de los atacantes que usan utilidades nativas, conocidas como tácticas de Conducirse Off the Land (LOTL), no es nueva, los últimos datos de la plataforma GravityZone de Bitdefender sugieren que está aún más generalizado de lo que se creía anteriormente.
Un asombroso 84% de los ataques de inscripción severidad involucraba el uso de binarios del sistema legítimos ya presentes en las máquinas. Esto socava la efectividad de las defensas convencionales, incluso las comercializadas como el mejor antivirus o la mejor protección de malware.
Algunas de las herramientas más comúnmente abusadas serán muy familiares para los administradores del sistema, incluidos Powershell.exe y WScript.exe.
Sin requisa, una útil surgió inesperadamente en la parte superior: netsh.exe. Se encontró una utilidad de andana de comandos para llevar la batuta la configuración de la red, netsh.exe en un tercio de los principales ataques, y aunque todavía se usa para la papeleo de firewall e interfaz, su apariencia frecuente en los aspectos de ataque sugiere que su potencial de uso indebido se subestima.
PowerShell sigue siendo un componente secreto de las operaciones legítimas y la actividad maliciosa, aunque el 96% de las organizaciones usan PowerShell, se encontró que se ejecuta con el 73% de los puntos finales, mucho más allá del repercusión de lo que se esperaría solo con el uso oficial.
Bitdefender descubrió que “las aplicaciones de terceros que ejecutan el código PowerShell sin una interfaz visible” eran una causa popular.
Esta naturaleza de doble uso dificulta la detección, especialmente para las herramientas no respaldadas por motores de comportamiento.
Plantea preguntas sobre si las mejores soluciones EPP están adecuadamente sintonizadas para dar cuenta de esta andana borrosa entre el uso común y nefasto.
Otro hallazgo sorprendente fue el uso continuo de WMIC.exe, una útil que Microsoft ha desaprobado.
A pesar de su momento, el investigación muestra que todavía está ampliamente presente en los entornos, a menudo invocado por la información del sistema de búsqueda de software. Es particularmente atractivo cuando los atacantes intentan mezclar adecuado a su apariencia legítima.
Para chocar este problema, Bitdefender desarrolló PHASR (endurecimiento proactivo y reducción de la superficie de ataque). Esta útil emplea un enfoque específico que va más allá de simplemente deshabilitar las herramientas.
“Phasr va más allá de circunvalar herramientas enteras, igualmente monitorea y detiene las acciones específicas que los atacantes usan interiormente de ellas”, dijo la compañía.
Aún así, este enfoque no está exento de compensaciones. El dilema fundamental, “no puede existir con ellos, no puede existir sin ellos”, sigue sin resolverse.
