Una nueva herramienta de seguridad ofensiva de código abierto llamada RecoverIt ha sido lanzada, ofreciendo a los equipos rojos (Red Teamers) y a los probadores de penetración un método innovador para establecer persistencia y ejecutar movimientos laterales en sistemas Windows comprometidos. La herramienta, desarrollada por el investigador de seguridad TwoSevenOneT, aprovecha el mecanismo integrado de recuperación ante fallos de los Servicios de Windows para desencadenar la ejecución de código arbitrario.

Se ha lanzado una nueva herramienta de seguridad ofensiva de código abierto llamada RecoverIt, que ofrece a los equipos Red Teamers y a los testers de penetración un método innovador para establecer persistencia y ejecutar movimiento lateral en sistemas Windows comprometidos.

La herramienta, desarrollada por el investigador de seguridad TwoSevenOneT, aprovecha el mecanismo integrado de recuperación ante fallos de los Servicios de Windows para desencadenar la ejecución de código arbitrario, eludiendo algunas de las heurísticas de detección más comunes utilizadas por los sistemas de Detección y Respuesta en Endpoints (EDR).

Los Servicios de Windows están diseñados con resiliencia en mente. El Administrador de Control de Servicios (SCM) incluye una pestaña de “Recuperación” para cada servicio, lo que permite a los administradores del sistema definir acciones específicas si un servicio falla inesperadamente.

Estas acciones suelen incluir reiniciar el servicio, reiniciar el equipo o, lo más crítico para este exploit, ejecutar un programa específico.

RecoverIt abusa de esta funcionalidad modificando programáticamente la configuración de un servicio para ejecutar una carga maliciosa en lugar de una herramienta de recuperación legítima.

La herramienta funciona con tres argumentos simples: el nombre del servicio objetivo, el programa a ejecutar tras un fallo y los parámetros para ese programa.

Funciones de recuperación ante fallos de servicios de Windows explotadas

En la documentación que acompaña al lanzamiento, el investigador de seguridad TwoSevenOneT destaca un escenario específico que involucra al servicio “UevAgentService” (Agente de Virtualización de Experiencia de Usuario).

La investigación reveló que este servicio tiende a bloquearse inmediatamente al ejecutarse si el servicio UE-V más amplio está deshabilitado en la máquina host.

Al apuntar a un servicio inestable como UevAgentService, un atacante puede crear un mecanismo de activación confiable. El atacante usa RecoverIt para configurar el servicio de modo que, cuando ocurra el inevitable bloqueo, el Administrador de Control de Servicios de Windows (services.exe) ejecute automáticamente la carga útil definida, como un Símbolo del sistema (cmd.exe) o un beacon de Cobalt Strike.

Dado que la ejecución es generada directamente por services.exe como una acción de recuperación, se mezcla con la actividad legítima del sistema en segundo plano, lo que podría enmascarar la intención maliciosa ante una observación casual.

El lanzamiento de RecoverIt destaca un cambio en las tácticas de evasión. Tradicionalmente, los atacantes que buscaban persistencia a través de los Servicios de Windows se centraban en modificar el valor del registro ImagePath (o binPath), que indica a Windows qué ejecutable debe ejecutarse al iniciar un servicio.

Sin embargo, como este es un vector de ataque bien conocido, los administradores de sistemas y las soluciones EDR ahora lo monitorean extensamente en busca de cambios no autorizados o binarios sospechosos.

RecoverIt elude por completo este escrutinio. Deja intacto el ImagePath legítimo. En su lugar, modifica las configuraciones de FailureCommand y FailureActions. Como se señala en el resumen de la herramienta, “los administradores de sistemas tienden a centrarse más en el ImagePath de los servicios”, dejando la configuración de recuperación como un punto ciego en muchas posturas defensivas.

Aunque el método de ejecución es sigiloso, no es invisible. El principal desafío para los defensores es que la ejecución de la carga maliciosa no se detalla explícitamente en los registros estándar de eventos de fallos de servicio.

Como muestran los hallazgos del investigador, el Registro de Eventos de Windows registra fallos de servicio (por ejemplo, UevAgentService terminando inesperadamente), pero no necesariamente registra el programa que el manejador de recuperación lanzó posteriormente en la misma entrada de evento.

Para detectar esta técnica, los equipos de seguridad deben ampliar el alcance de su monitoreo. La lógica de detección debe actualizarse para alertar sobre cambios en las configuraciones de recuperación de servicios, específicamente monitoreando modificaciones en las claves de registro FailureCommand y FailureActions.

Además, el monitoreo de procesos debe examinar minuciosamente los procesos hijos generados por services.exe que se correlacionen con eventos de fallo de servicio, especialmente si esos procesos hijos son intérpretes de comandos como PowerShell o CMD.

El lanzamiento de RecoverIt sirve como recordatorio de que las características legítimas de administración del sistema a menudo proporcionan el camuflaje más efectivo para los atacantes, lo que requiere un enfoque de defensa en profundidad que vaya más allá de los indicadores estándar de compromiso.