Los agentes de IA han evolucionado de responder preguntas a ejecutar acciones y gestionar archivos, lo que ha creado nuevas vulnerabilidades. Se han detectado habilidades maliciosas dirigidas al mercado ClawHub, demostrando que el ecosistema de agentes de IA es susceptible a puertas traseras de control remoto y robos de datos.

Una técnica de inyección recientemente detallada ha puesto en el punto de mira a los sistemas Windows, revelando cómo los atacantes podrían abusar de una parte profundamente integrada del sistema operativo para ejecutar código malicioso dentro de otro proceso sin hacer saltar las alarmas.

El método explota el subsistema gráfico de Windows, específicamente win32k.sys, utilizando una ruta de callback legítima de núcleo a usuario en la que el propio Windows confía para sus operaciones normales.

Lo que hace que esto sea particularmente preocupante es que la técnica se mantiene dentro del comportamiento esperado del sistema, lo que hace que sea mucho más difícil de detectar para las herramientas de seguridad.

En el corazón del ataque se encuentra una estructura llamada KernelCallbackTable, una tabla de punteros de función almacenada en cada proceso de Windows con interfaz gráfica (GUI) habilitada.

Esta tabla ayuda al sistema operativo a transferir tareas gráficas desde el núcleo a rutinas del modo usuario. Los atacantes que entiendan cómo funciona pueden localizarla a través de la memoria de un proceso e identificar qué callbacks están activos.

El objetivo es encontrar una ruta de ejecución sin alterar visiblemente la tabla en sí. El investigador de seguridad n0qword identificó esta técnica y documentó su implementación completa, publicando los hallazgos junto con una prueba de concepto funcional en GitHub.

La investigación destaca cómo el ataque evita la forma más detectable de esta clase de explotación, que normalmente implica sobrescribir directamente las entradas en la tabla de callbacks.

Al tomar una ruta más indirecta, esquiva los controles de integridad que señalarían cambios estructurales, lo que le otorga una clara ventaja de sigilo sobre los métodos de inyección más antiguos. Este enfoque evita dejar las huellas obvias que crea la inyección de procesos tradicional.

En lugar de generar un nuevo hilo remoto o enviar código a través de llamadas a procedimientos asincrónicos de Windows, este método redirige silenciosamente una función de callback existente y esperada en el momento en que el sistema la invoca.

El resultado es una ruta de ejecución más limpia que se mezcla con la actividad normal de Windows sin destacar en el monitoreo a nivel de proceso.

Aunque se compartió estrictamente con fines educativos y de investigación defensiva, su mecánica subyacente representa un riesgo real si es adoptada por actores maliciosos.

Tú y tu equipo de seguridad necesitáis entender cómo funcionan los métodos basados en callbacks para tener alguna posibilidad real de detectarlos o bloquearlos.

Como dijo n0qword en un informe compartido con Cyber Security News (CSN), la técnica “puede proporcionar una alternativa más sigilosa a las primitivas más convencionales, como la creación de hilos remotos o la inyección basada en APC”.

Los hackers podrían abusar de la ruta de callback WM_COPYDATA

La entrada de callback específica en el centro de esta técnica es __fnCOPYDATA, que está vinculada al tipo de mensaje de Windows WM_COPYDATA.

Esta entrada es especialmente atractiva para un atacante porque puede activarse externamente y de manera predecible enviando un mensaje WM_COPYDATA a una ventana objetivo utilizando la función estándar SendMessage.

Esa fiabilidad la convierte en una primitiva de ejecución fuerte que no requiere una configuración compleja ni condiciones inusuales del proceso.

El ataque comienza leyendo la memoria del proceso objetivo para localizar su KernelCallbackTable y resolver la dirección de la rutina __fnCOPYDATA.

El shellcode se escribe en el proceso remoto utilizando memoria ejecutable asignada, y se coloca un pequeño hook inline al principio de esa función.

Este hook redirige la ejecución al shellcode del atacante en el momento en que se dispara el callback. Una vez que finaliza la ejecución, se restauran los bytes originales para mantener la estabilidad del proceso y minimizar los signos residuales de manipulación.

Diseño de evasión y qué deben vigilar los defensores

Uno de los aspectos más notables de esta técnica es cómo evita deliberadamente la detección. La inyección tradicional en la KernelCallbackTable sobrescribe las entradas de la tabla directamente, lo que los productos de seguridad pueden detectar validando la PEB o ejecutando controles de integridad.

Este nuevo enfoque deja la tabla completamente intacta y coloca el hook en la función a la que apunta la tabla, por lo que la tabla parece totalmente normal desde el exterior. Esa decisión de diseño hace que sea mucho más difícil para las herramientas automatizadas señalar cualquier cosa sospechosa.

Para quienes defienden el sistema, monitorear solo la tabla de callbacks ya no es suficiente. Las soluciones de seguridad también deben vigilar modificaciones inline inesperadas en las funciones que referencia la KernelCallbackTable, particularmente las rutinas de user32.dll vinculadas a tipos de mensajes como WM_COPYDATA.

La investigación recomienda restringir cualquier prueba de tales técnicas a entornos de laboratorio controlados bajo la autorización adecuada.

Tú también deberías vigilar el tráfico inusual de mensajes WM_COPYDATA entre procesos no relacionados, lo que podría indicar un intento de activar un callback secuestrado en un ataque real.