Varonis Threat Labs ha descubierto una nueva técnica de evasión llamada GhostTree. Este método aprovecha las uniones de NTFS para crear bucles de directorios recursivos, lo que provoca que los escáneres de EDR (Detección y Respuesta en Endpoints) queden atrapados en rutas infinitas. Como resultado, los sistemas de seguridad se bloquean y ignoran las cargas útiles maliciosas.

Una novedosa técnica de evasión llamada GhostTree, que explota las uniones NTFS para crear bucles de directorios recursivos.

Descubierto por Varonis Threat Labs, este método atrapa a los escáneres de Detección y Respuesta de Endpoints (EDR) en rutas infinitas, provocando que se bloqueen e ignoren las cargas útiles maliciosas.

Las uniones NTFS funcionan como accesos directos avanzados que redirigen las aplicaciones de un directorio a otro sin interrupciones.

Los actores de amenazas prefieren esta función porque crear una unión requiere solo permisos de escritura estándar en lugar de privilegios administrativos.

Los atacantes simplemente ejecutan el comando mklink /J en la terminal de Windows para vincular una nueva ruta a un directorio objetivo.

Ataque GhostTree contra EDR

Aunque el sistema de archivos NTFS admite nativamente rutas extendidas, el software heredado restringe severamente la profundidad práctica de las rutas en todo el sistema operativo.

Las arquitecturas clásicas de Windows imponen una longitud máxima de ruta estricta de 260 caracteres, lo que finalmente limita hasta dónde pueden extenderse los bucles de directorios recursivos.

El ataque fundacional GhostBranch implica que un adversario cree una unión que apunte un directorio hijo directamente de vuelta a su padre.

Esta configuración errónea crea un bucle lógico donde la carpeta hija replica infinitamente el contenido de la carpeta padre, incluyéndose a sí misma. Los atacantes que utilizan nombres de carpeta de una sola letra pueden anidar directorios hasta una profundidad máxima de aproximadamente 126 niveles.

GhostTree amplifica exponencialmente esta amenaza al vincular múltiples directorios hijos al mismo carpeta padre.

Esta configuración de doble nodo genera aproximadamente $2^{126}$2126 rutas de archivos distintas, presentando un número astronómico de rutas hacia un único ejecutable. La estructura de directorios resultante se asemeja a un árbol binario complejo que se ramifica recursivamente hasta alcanzar los límites del sistema operativo.

Fallos de Escaneo de EDR

Cuando los productos de seguridad intentan escanear recursivamente estos directorios manipulados, recorren continuamente las rutas que se generan infinitamente.

El motor de escaneo queda totalmente consumido por el bucle de directorios y finalmente se cuelga sin completar su tarea. Cualquier malware real colocado junto a la unión permanece sin escanear y completamente indetectado por el agente del endpoint.

Los elementos operativos de estas técnicas de evasión resaltan su simplicidad y su grave impacto en el análisis del sistema de archivos. Puedes usar la comparación a continuación para entender las diferencias de escalado exponencial entre las dos variantes de ataque.

Los investigadores de Varonis validaron con éxito esta técnica de evasión probándola directamente contra Windows Defender.

Microsoft inicialmente cerró el informe del error sin tomar medidas, afirmando que eludir un motor antivirus no califica como el cruce de un límite de seguridad definido.

A pesar de esta postura inicial, Microsoft finalmente implementó un parche para resolver la vulnerabilidad de escaneo recursivo subyacente.

Debido a que los escáneres nativos de endpoints pueden ser subvertidos por bucles lógicos de archivos, debes implementar estrategias de defensa en profundidad en tu organización.

Los centros de operaciones de seguridad deben supervisar los eventos de acceso a archivos en la capa de datos para identificar la creación anómala de uniones.

Detectar estructuras de directorios recursivas que se desvíen de los patrones operativos normales es fundamental para identificar la actividad de GhostTree antes de su ejecución.

Fuentes:
https://cybersecuritynews.com/ghosttree-attack-edr-products/