Praetorian Inc. ha hecho público Swarmer, una herramienta que permite a atacantes con bajos privilegios lograr persistencia en Windows de manera sigilosa, eludiendo la supervisión de los sistemas de Detección y Respuesta en Endpoints (EDR). Implementada operativamente desde febrero de 2025, Swarmer aprovecha los perfiles de usuario obligatorios y la poco conocida API del Registro Offline para modificar el hive NTUSER sin activar los hooks estándar del registro. 

Praetorian Inc. ha hecho público Swarmer, una herramienta que permite a atacantes con privilegios bajos lograr persistencia sigilosa en el registro de Windows eludiendo la monitorización de Endpoint Detection and Response (EDR).

Implementada operativamente desde febrero de 2025, Swarmer explota perfiles de usuario obligatorios y la oscura API de Registro sin Conexión para modificar el hive NTUSER sin activar los hooks estándar del registro.

La persistencia tradicional en el registro a través de claves como HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run es fácilmente detectada. Las herramientas EDR interceptan APIs como RegSetValue, registrando y marcando las modificaciones.

Swarmer evita esto aprovechando los perfiles de usuario obligatorios, una función heredada de Windows para la aplicación de perfiles empresariales.

En los perfiles obligatorios, NTUSER.MAN sobrescribe el hive estándar NTUSER.DAT en %USERPROFILE% al iniciar sesión. Los usuarios con privilegios bajos pueden crear NTUSER.MAN copiando y renombrando NTUSER.DAT.

Sin embargo, editar el hive cargado requiere APIs estándar, lo que alerta al EDR. Swarmer resuelve esto usando Offreg.dll, la Biblioteca de Registro sin Conexión de Microsoft, diseñada para la manipulación de hives sin conexión durante la instalación o el análisis forense.

Microsoft advierte contra eludir la seguridad del registro con Offreg, pero Swarmer ignora esta advertencia.

Funciones como ORCreateHive, OROpenHive, ORCreateKey, ORSetValue y ORSaveHive permiten construir hives completos sin llamadas a las APIs Reg*, evitando Process Monitor, ETW y la mayoría de los análisis de comportamiento de EDR, según indicó Praetorian.

Flujo de trabajo e implementación de Swarmer

El flujo de trabajo de Swarmer es eficiente:

1. Exporta HKCU mediante reg export o el Beacon Object File (BOF) reg_query de TrustedSec para evitar artefactos en disco.
2. Modifica la exportación (por ejemplo, añadiendo entradas en la clave Run).
3. Ejecuta Swarmer: swarmer.exe exported.reg NTUSER.MAN o con flags de inicio: swarmer.exe --startup-key "Updater" --startup-value "C:\Path\To\payload.exe" exported.reg NTUSER.MAN.
4. Coloca NTUSER.MAN en %USERPROFILE%.

Para implantes de C2, analiza directamente la salida del BOF: swarmer.exe --bof --startup-key "Updater" --startup-value "C:\Path\To\payload.exe" bof_output.txt NTUSER.MAN.

Desarrollado en C# para facilitar el uso de P/Invoke y su funcionamiento sin conexión, Swarmer funciona como un EXE o módulo de PowerShell:

Import-Module '.\swarmer.dll'
Convert-RegToHive -InputPath '.\exported.reg' -OutputPath '.\NTUSER.MAN'

Un workaround soluciona la salida inválida de hive de ORCreateHive: RegLoadAppKeyW crea un hive base (sin necesidad de admin), luego Offreg lo completa.

Limitaciones y oportunidades de detección

Swarmer tiene sus limitaciones:

La detección incluye la creación de NTUSER.MAN fuera de herramientas empresariales, cargas de Offreg.dll en procesos no estándar o anomalías en los perfiles. La ejecución del payload al iniciar sesión sigue siendo visible; ofúscalo.

Los defensores deberían monitorizar los directorios de perfiles de usuario en busca de NTUSER.MAN, establecer una línea base del uso de Offreg y verificar la integridad del perfil al iniciar sesión. Swarmer pone de relieve los residuos heredados de Windows anteriores a los EDR modernos.

Esta divulgación proporciona a los equipos de defensa herramientas contra la persistencia sigilosa, instando a examinar los rincones olvidados de Windows.