Un sofisticado empaquetador de Windows conocido como pkr_mtsi ha surgido como una herramienta poderosa para distribuir múltiples familias de malware a través de campañas generalizadas de malvertising. Detectado por primera vez el 24 de abril de 2025, este empaquetador malicioso continúa operando activamente, distribuyendo instaladores troyanos disfrazados de aplicaciones de software legítimas. El empaquetador se dirige a herramientas populares incluyendo PuTTY, Rufus y Microsoft Teams.

Un sofisticado empaquetador de Windows conocido como pkr_mtsi ha surgido como una herramienta poderosa para entregar múltiples familias de malware a través de campañas generalizadas de malvertising.

Detectado por primera vez el 24 de abril de 2025, este empaquetador malicioso continúa operando activamente, distribuyendo instaladores troyanos disfrazados de aplicaciones de software legítimas.

El empaquetador se dirige a herramientas populares como PuTTY, Rufus y Microsoft Teams, utilizando sitios web de descarga falsos que logran altas clasificaciones en los motores de búsqueda a través de técnicas de malvertising y envenenamiento de SEO.

El empaquetador pkr_mtsi sirve como un cargador de propósito general en lugar de un envoltorio de carga única, entregando diversas familias de malware como Oyster, Vidar, Vanguard Stealer y Supper.

La distribución ocurre cuando los usuarios desprevenidos descargan lo que parece ser software legítimo de sitios web falsos. Estos sitios no son el resultado de ataques a la cadena de suministro, sino plataformas de imitación cuidadosamente elaboradas diseñadas para engañar a los usuarios que buscan utilidades confiables.

En los últimos ocho meses, los investigadores de ReversingLabs han notado que pkr_mtsi ha evolucionado significativamente, incorporando métodos de ofuscación y técnicas anti-análisis cada vez más complejos.

A pesar de esta evolución, el empaquetador mantiene características estructurales y de comportamiento consistentes que permiten una detección confiable.

Los analistas de ReversingLabs identificaron que los productos antivirus a menudo marcan el empaquetador utilizando subcadenas como “oyster” o “shellcoderunner”, aunque la cobertura de detección sigue siendo inconsistente entre las herramientas de seguridad.

Ejecución Técnica y Asignación de Memoria

El empaquetador opera asignando regiones de memoria donde se escribe la siguiente etapa de ejecución. Las versiones anteriores usaban llamadas directas a VirtualAlloc, mientras que las variantes recientes emplean llamadas ofuscadas a ZwAllocateVirtualMemory.

Después de la asignación de memoria, el empaquetador reconstruye las cargas dividiéndolas en fragmentos pequeños que van de uno a ocho bytes, almacenados como valores inmediatos dentro de la secuencia de instrucciones. Las variantes posteriores pasan estos fragmentos a través de rutinas de decodificación antes de escribirlos en desplazamientos de memoria específicos.

Los investigadores de ReversingLabs identificaron que las variantes anteriores de pkr_mtsi resolvían DLL y funciones API a partir de cadenas de texto sin formato, pero las versiones más nuevas ahora utilizan identificadores hash combinados con el recorrido del Bloque de Entorno del Proceso.

El empaquetador también emplea llamadas basura extensivas a funciones API de GDI, que no tienen ningún propósito funcional aparte de frustrar los esfuerzos de análisis estático y de comportamiento. Estas características forman firmas de detección confiables.

El empaquetador existe tanto en formatos ejecutables como de biblioteca de vínculos dinámicos (DLL). Las variantes DLL admiten múltiples contextos de ejecución, con una vía que activa de manera confiable al cargar la DLL para desempacar la siguiente etapa y la carga útil final.

Varias muestras DLL exportan DllRegisterServer, lo que permite la carga de malware a través de regsvr32.exe y proporcionando una ejecución persistente a través del registro COM.

La etapa intermedia consiste en un módulo UPX empaquetado modificado con componentes identificadores eliminados selectivamente para evadir la detección. Los encabezados, los valores mágicos y los metadatos auxiliares se eliminan manteniendo la capacidad de ejecución.

Esta degradación deliberada complica tanto la identificación estática como los procesos de desempacado automatizados, lo que hace que el análisis sea más desafiante para los investigadores de seguridad.