Tutoriales y Manuales
Entradas Mensuales
-
▼
2024
(Total:
862
)
- ► septiembre (Total: 8 )
-
▼
julio
(Total:
104
)
-
Los actores de doblaje de videojuegos, en huelga c...
-
Intel confirma daños permanentes en los Core Gen 1...
-
Un fallo en Google Password Manager dejó sin contr...
-
Múltiples malware y ransomware aprovechan vulnerab...
-
Estafas del CEO mediate IA
-
Nicolás Maduro declara a Elon Musk «archienemigo» ...
-
Las ganancias de Tesla caen un 45 %, mientras Elon...
-
Suiza exigirá que todo el software gubernamental s...
-
Secure Boot está roto en más de 200 modelos de 5 g...
-
Cómo evitar que X (Twitter) use tus publicaciones ...
-
Elon Musk se enfrenta a nuevas sanciones por entre...
-
Error en WhatsApp para Windows permite ejecución d...
-
Compañía de seguridad de EEUU contrató un ingenier...
-
Cómo funciona DDoSia: la herramienta DDoS utilizad...
-
Grindr bloquea algunas funciones en la Villa Olímp...
-
Apple Maps lanza, por fin, una versión web para co...
-
Modus operandi de un ataque del ransomware Akira
-
Suplantación de archivos en WhatsApp para Android
-
CrowdStrike ofrece un vale de 10€ en UberEats para...
-
AMD retrasa ligeramente el lanzamiento de los Ryze...
-
El CNI de España coordina una respuesta al ataque ...
-
Photoshop permite crear imágenes con IA desde sus ...
-
Meta presenta Llama 3.1, su IA de código abierto q...
-
Grupo pro ruso NoName057(16) realiza ataques DDoS ...
-
Windows 11 funciona en un iPhone 15 Pro, aunque mu...
-
Compañía aérea se salva del desastre de CrowdStrik...
-
Facebook quiere gastarse 87.000 millones en ‘Ray-B...
-
Google eliminará acortador de URLs goo.gl en 2025
-
Microsoft culpa a la UE de lo sucedido con CrowdSt...
-
Process Hollowing: una técnica de evasión utilizad...
-
0-Day en Telegram permitía enviar archivos dañinos...
-
Herramienta de Microsoft para recuperar equipos da...
-
China tiene un equipo de ciberseguridad que se enc...
-
La nueva normativa pide usar botones físicos en lo...
-
La Guardia Civil detiene a tres prorrusos en Españ...
-
Caída global por culpa de CrowdStrike: un apagón c...
-
OpenAI presenta GPT-4o mini, una IA más potente y ...
-
Filtración de datos de empresa espía mSpy, revela ...
-
Armas biológicas diseñadas por IA
-
Hack WPA / WPA2 fácilmente sin fuerza bruta con Fl...
-
Configurar Telegraf, InfluxDBv2 y Grafana para mon...
-
Caddy: un servidor web con funciones de proxy inverso
-
Windows resolverá el problema de las actualizacion...
-
Apple y otras empresas usaron videos de YouTube pa...
-
Vulnerabilidad crítica en GeoServer GeoTools explo...
-
El FBI logra acceso al móvil del atacante de Donal...
-
Las guerras de Unix: Un capítulo crucial en la his...
-
Europa dice que X (Twitter) engaña a los usuarios ...
-
Detenidos tres menores por difundir por Whatsapp f...
-
Google quiere comprar la startup de ciberseguridad...
-
Explotación de vulnerabilidades tan solo 22 minuto...
-
0-Day en Windows MSHTML utilizado en ataques de ma...
-
HardBit ransomware version 4.0
-
Fábrica de Xiaomi abierta 24/7 en la que todos los...
-
Alemania dejará gradualmente sin uso de las redes ...
-
Detenido de nuevo Alcasec por robar los datos de 3...
-
Vulnerabilidad crítica en Exim expone a millones d...
-
Cómo la desinformación rusa terminó en el top de l...
-
Excel incluye un editor para programar en Python
-
Parche de Microsoft para grave vulnerabilidad acce...
-
Vulnerabilidad crítica en GitLab Community y Enter...
-
Cómo roban cuentas de YouTube con infostealers
-
Función de WhatsApp transcribe las notas de voz pa...
-
The Harvester: herramienta OSINT para analizar los...
-
AMD compra la finlandesa Silo AI para impulsar su ...
-
Windows 10 recibe Copilot como parte de una actual...
-
Samsung Galaxy Ring, un anillo cuantificador con a...
-
Microsoft abandona la junta directiva de OpenAI en...
-
Elon Musk es acusado de hacer trampa con el sistem...
-
Vulnerabilidad crítica en libreria Ghostscript en ...
-
Youtuber muestra cómo conseguir juegos gratis en S...
-
La computadora cuántica de Google es humillada por...
-
Fossify es una suite Open Source, gratis y sin anu...
-
Nothing desvela el CMF Phone 1, un sorprendente sm...
-
Google Maps introducirá anuncios en la navegación
-
Todo lo que necesitas saber sobre puertos USB y ve...
-
El Dorado ransomware: objetivo máquinas virtuales ...
-
Batocera es una retroconsola para PC y Android
-
Recopilación de 10 mil millones de contraseñas
-
Limitar el ancho de banda en Linux
-
Rack SSD
-
Servidor Blade vs. Servidor de Rack vs. Servidor d...
-
ChatGPT para Mac expuso las conversaciones de mill...
-
Roban 33 millones de números de teléfono del famos...
-
La UE podría eliminar la exención aduanera a los p...
-
Google Drive ahora es Booteable
-
Organismo rector de la Fórmula 1 revela una filtra...
-
Google Chrome bloqueará los certificados TLS de En...
-
Apple veta la emulación de PCs «retro» en iOS
-
54 detenidos por estafar más de 2 millones de euro...
-
YouTube permite solicitar el borrado de vídeos gen...
-
Primer cable Thunderbolt 5 con una velocidad 120 G...
-
Los adultos Españoles que quieran entrar en webs p...
-
Japón bate el récord de banda ancha superando los ...
-
Wise alerta de un hackeo masivo con robo de datos ...
-
Detenido autor puntos de acceso Wifi falsos en aer...
-
regreSSHion: 14 millones de servidores OpenSSH vul...
-
NFC - ¿Qué es, cómo funciona y qué riesgos de segu...
-
WhatsApp publica su planificador de eventos para g...
-
Meta deja de publicar parches de seguridad para el...
-
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
►
2022
(Total:
967
)
- ► septiembre (Total: 72 )
-
►
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
►
2015
(Total:
445
)
- ► septiembre (Total: 47 )
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
Entradas populares
-
Después de ver qué es una vCPU y la diferencia entre núcleos (cores) e hilos en los procesadores, pasamos a explicar toda la nomenclatura d...
-
Aunque durante años ha sido una idea que se ha movido entre la teoría conspirativa y la probable realidad, una nueva filtración de unos do...
-
Si estos días vas a cualquiera de las plataformas de venta que hay en internet y buscas un USB probablemente te encuentras con no pocos con ...
Process Hollowing: una técnica de evasión utilizada por los cibercriminales
Una de las técnicas más avanzadas que utilizan los cibercriminales para evadir las defensas y comprometer los sistemas se conoce como process hollowing o “hollowing de procesos“, veamos a continuación una visión detallada sobre esta técnica, su funcionamiento y cómo puede ser detectada y mitigada.
¿Qué es el Process Hollowing?
Se trata de una técnica de inyección de código en la que un atacante crea un proceso legítimo en un estado suspendido, reemplaza su memoria con código malicioso y luego reanuda el proceso para ejecutar el código maligno bajo la apariencia de un proceso legítimo.
Desde ESET hemos observado que el process hollowing es una técnica utilizada en numerosas campañas de malware como Bandidos o Guinea Pig. También herramientas maliciosas como Smoke Loader y TrickBot son conocidas por emplear esta técnica para ejecutar su código bajo procesos legítimos, facilitando así la evasión de detección por parte de soluciones antivirus y sistemas de detección de intrusiones (MITRE ATT&CK - Elastic).
Capacidad de evasión de medidas de seguridad
Esta técnica permite al malware evadir las medidas de seguridad que dependen de la identificación de procesos basados en la legitimidad de sus archivos ejecutables, para ello se basa en las siguientes características:
- Ocultación: El malware se ejecuta dentro de un proceso legítimo, lo que dificulta su detección por parte de los antivirus y otras herramientas de seguridad.
- Privilegios: El malware hereda los privilegios del proceso original, lo que le permite acceder a recursos y realizar acciones que normalmente no podría.
- Persistencia: El malware puede manipular el proceso original para garantizar su propia supervivencia, incluso si se reinicia el sistema.
¿Cómo Funciona?
Los cibercriminales implementan el process hollowing mediante una serie de pasos meticulosos para inyectar código malicioso en un proceso legítimo y así evadir las defensas del sistema. A continuación, un detalle de cómo los cibercriminales implementan el process hollowing paso a paso:
- Creación del Proceso en Estado Suspendido: El atacante inicia un proceso legítimo (por ejemplo, svchost.exe) en un estado suspendido utilizando la función API de Windows CreateProcess con la bandera CREATE_SUSPENDED.
- Desmapeo/Vaciado de la Memoria del Proceso: Utilizando funciones como ZwUnmapViewOfSection o NtUnmapViewOfSection, el atacante desmapea la memoria del proceso, liberando el espacio donde el ejecutable legítimo reside.
- Inyección del Código Malicioso: El atacante asigna nueva memoria dentro del proceso suspendido con VirtualAllocEx y escribe el código malicioso en este espacio usando WriteProcessMemory.
- Modificación del Contexto del Hilo: Con la función SetThreadContext, el atacante modifica el punto de entrada del proceso para que apunte al código malicioso recién inyectado.
- Reanudación del Proceso: Finalmente, el proceso suspendido se reanuda con ResumeThread, y el código malicioso comienza a ejecutarse bajo la apariencia del proceso legítimo.
Señales de uso de process hollowing
El process hollowing puede ser una técnica difícil de detectar, pero hay algunas señales generales que podrían indicar su uso:
- Alto uso de CPU/memoria: El process hollowing puede implicar una utilización intensiva de CPU y memoria, especialmente durante la fase de inyección de código.
- Actividad inusual del proceso: Los procesos comprometidos por process hollowing pueden exhibir un comportamiento inusual, como la apertura de archivos o puertos de red inesperados.
- Desigualdades en el tamaño del proceso: Los procesos comprometidos por process hollowing pueden tener un tamaño de memoria significativamente menor de lo esperado.
También existen otros enfoques más específicos que los profesionales de ciberseguridad pueden adoptar:
- Monitoreo de Llamadas API: Vigilar las llamadas a API, como CreateRemoteThread, VirtualAllocEx, y WriteProcessMemory, puede ayudar a identificar comportamientos sospechosos asociados con la inyección de código.
- Análisis del Contexto: Examinar los contextos de los hilos de procesos en busca de anomalías, como cambios inesperados en los puntos de entrada, puede ser indicativo de process hollowing.
- Uso de Software de Seguridad Avanzado: Soluciones de seguridad que emplean análisis de comportamiento y monitoreo de integridad de memoria pueden detectar y bloquear técnicas de hollowing de procesos.
Herramientas para detectar process hollowing
Existen varias herramientas que pueden ayudar a detectar de manera manual un process hollowing, como:
- Process Explorer: Process Explorer es una herramienta gratuita de Microsoft que permite ver los detalles de los procesos en ejecución, incluida su memoria y actividad de red.
- Sysinternals PsExec: PsExec es otra herramienta gratuita de Microsoft que permite ejecutar procesos en el contexto de otro usuario. Se puede utilizar para inyectar herramientas de análisis de memoria en procesos sospechosos.
- Falconsgaze: Falcongaze es una herramienta comercial de análisis de malware que incluye la capacidad de detectar process hollowing.
Recomendaciones adicionales
Como pudimos observar el process hollowing es una técnica de evasión avanzada que puede ser utilizada por malware para ocultar su presencia y obtener privilegios elevados y al margen de las herramientas disponibles que hemos mencionado para detectar su presencia es importante destacar algunas recomendaciones a nivel general para detectarla y mitigarla.
- Mantener los sistemas y el software actualizados con los últimos parches de seguridad.
- Utilizar una solución de seguridad de buena reputación como un EDR o EPP.
- Implementar controles de acceso basados en roles para limitar los privilegios de los usuarios.
- Realizar auditorías de seguridad regulares para identificar y corregir vulnerabilidades.
Fuentes:
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.