Los atacantes han descubierto una nueva técnica para ocultar sus actividades tras obtener acceso de administrador en Windows. Este método abusa de los vínculos de enlace (bind links), una función legítima que redirige una ruta de archivo a otra sin modificar el archivo original en el disco. De esta manera, en lugar de crear archivos visibles o modificar el software de seguridad, el atacante puede cegar los sistemas EDR y evadir herramientas como AMSI, AppLocker y Sysmon.

Los defensores de Windows se enfrentan a una nueva forma que tienen los atacantes para ocultar su actividad tras obtener acceso de administrador.

La técnica abusa de los vínculos de enlace de Windows (bind links), una función legítima que redirige una ruta de archivo a otra sin cambiar el archivo original en el disco.

En lugar de dejar un archivo de reemplazo visible o modificar el software de seguridad, un atacante puede hacer que una ruta de confianza devuelva silenciosamente contenido malicioso.

Esto crea una brecha entre lo que un proceso ejecuta y lo que las herramientas de endpoint creen que están inspeccionando.

Bitdefender afirmó en un informe que el problema afecta a los sistemas Windows modernos una vez que un atacante tiene privilegios de administrador local.

Los investigadores dijeron que la técnica puede debilitar la detección de endpoints, los controles de aplicaciones, el registro y los mecanismos de escaneo que confían en una ruta de archivo como una identidad fiable.

La investigación no describe una familia de malware independiente ni una campaña de explotación masiva. En su lugar, detalla un método de evasión posterior al compromiso que podría dar a los operadores de ransomware y otros intrusos otra vía para reducir la visibilidad después de tomar el control de un dispositivo Windows.

Abuso de Bind Links en Windows

Los vínculos de enlace son gestionados por el controlador Windows Bind Filter y se utilizan comúnmente para funciones de virtualización, incluidos los contenedores de Windows y los entornos de Sandbox.

A diferencia de un enlace simbólico, un vínculo de enlace se almacena en la memoria en lugar de ser un objeto visible del sistema de archivos, lo que hace que la enumeración normal de archivos sea mucho menos útil para detectarlo.

El método también puede "sombrear" un archivo que ya existe. Un programa limpio y firmado puede permanecer intacto en el disco, mientras que los procesos que abren su ruta reciben un archivo diferente controlado por el atacante a través de la capa de filtro. Esta distinción es fundamental para la técnica de File-Binding de los investigadores.

Con el File-Binding, un actor de amenazas puede redirigir una ruta de DLL de confianza a una biblioteca de reemplazo que expone las funciones esperadas pero no realiza comprobaciones de seguridad.

En una demostración, el enfoque provocó que PowerShell cargara un componente AMSI falso, permitiendo que los scripts parecieran limpios sin necesidad de parchear el archivo real de Windows.

Ese mismo principio podría afectar a los sensores EDR en modo usuario, los componentes de seguimiento de eventos y las herramientas forenses que vuelven a abrir archivos más tarde para su análisis.

Esto se basa en las preocupaciones planteadas en informes anteriores sobre el bypass de EDR de Windows MiniFilter, donde también se demostró que los componentes del sistema de archivos del núcleo creaban oportunidades para interrumpir la visibilidad del endpoint.

La segunda técnica, Process-Binding, aplica la redirección a una imagen ejecutable. Windows puede reportar la ruta de la fuente de confianza durante la creación del proceso, aunque un ejecutable de respaldo diferente suministre el código que realmente se ejecuta.

Esto puede socavar las listas blancas basadas en rutas, la validación de firmas y los paneles de seguridad que dependen del nombre de la imagen reportada. Los equipos de seguridad ya habían rastreado técnicas de bypass de EDR de bajos privilegios que utilizan enmascaramiento y rutas engañosas, pero los vínculos de enlace trasladan el engaño a la propia resolución de archivos de Windows.

Silo-Binding amplía la evasión

Silo-Binding es la variante más avanzada descrita en la investigación. Utiliza un Silo de Windows, un límite de aislamiento detrás de contenedores y entornos sandboxed, para hacer que la misma ruta se resuelva de manera diferente dentro y fuera del grupo de procesos aislados.

Dentro del silo, una ruta de ejecutable que parece confiable puede conducir a código malicioso.

Fuera de él, una plataforma EDR, una utilidad forense o un administrador que inspeccione la misma ruta puede ser redirigido de vuelta al archivo legítimo, creando una visión convincente pero falsa del sistema.

Esta división puede afectar a AppLocker, Windows Firewall, el hashing de Sysmon y los flujos de trabajo de escaneo retrasado.

El hallazgo es particularmente notable junto a un fallo reciente en la política de Microsoft AppLocker, que igualmente mostró cómo las suposiciones de control de aplicaciones pueden dejar espacio para la ejecución no autorizada.

Sysmon puede registrar el nombre del programa confiable y el hash del archivo limpio en lugar del código que se ejecutó en el silo.

Por lo tanto, los investigadores que busquen un hash malicioso conocido podrían no encontrar eventos coincidentes, mientras que los registros seguirían pareciendo normales.

El informe recomienda que los proveedores de seguridad resuelvan el archivo de respaldo real en lugar de confiar únicamente en las rutas de creación de procesos.

Deberían repetir esa validación durante el hashing retrasado, el escaneo y las operaciones de remediación, y enumerar los mapeos de vínculos de enlace activos para identificar redirecciones limitadas al silo.

Las organizaciones también deberían preguntar a sus proveedores de seguridad de endpoints si sus productos validan la identidad del archivo de respaldo al iniciar y durante las comprobaciones posteriores de los archivos.

Puedes fortalecer tus prácticas de investigación correlacionando la actividad del proceso con la creación de contenedores o silos, acciones administrativas inusuales y otros signos de evasión de defensas, incluidos los métodos de bypass de registros de PowerShell.

Fuentes:
https://cybersecuritynews.com/windows-bind-link-abuse-lets/