Han encontrado una nueva forma de cegar a los equipos de seguridad antes de robar contraseñas, y la técnica es tan exhaustiva como alarmante.

Un actor de amenazas desactivó recientemente Microsoft Defender, detuvo la herramienta de registro Sysmon y derribó un firewall de aplicaciones web, todo antes de desplegar Mimikatz para recolectar credenciales.

La campaña muestra hasta dónde pueden llegar los atacantes para borrar sus huellas y evitar la detección. La intrusión comenzó el 7 de junio con un servidor web comprometido y comandos básicos de reconocimiento.

Lo que parecía una enumeración rutinaria pronto escaló a una de las operaciones de evasión de defensas más agresivas observadas este año, involucrando casi una docena de técnicas distintas superpuestas entre sí.

Huntress señaló en un informe que identificaron el incidente después de que su SOC detectara una actividad de enumeración sospechosa proveniente de un proceso de trabajo legítimo de IIS.

Esa anomalía llevó a los investigadores a descubrir un webshell esteganográfico oculto dentro de un archivo de imagen, marcando el punto de partida de una cadena de ataque mucho más grande.

El webshell, llamado UA4fp7R.aspx, había sido ocultado mediante esteganografía y se rastreó hasta un directorio destinado únicamente a imágenes.

Desde allí, el atacante amplió su presencia, regresando varias veces incluso después de que el equipo de seguridad intentara la remediación, escalando finalmente al robo total de credenciales.

Lo que hace que este caso sea notable no es solo el volcado de credenciales en sí, sino la secuencia deliberada de sabotaje defensivo que lo precedió. El atacante desmanteló metódicamente el registro, las herramientas de seguridad y los sistemas de monitoreo antes de tocar Mimikatz.

Desactivan Defender, Sysmon y WAF

El manual de estrategias del atacante se centró en un script de procesamiento por lotes llamado i.bat, que Huntress recuperó antes de que pudiera ser eliminado. El script primero desactivó el registro HTTP de IIS, cortando la visibilidad de la actividad posterior del webshell en el servidor.

Luego ejecutó comandos de PowerShell para debilitar Microsoft Defender, desactivando el monitoreo en tiempo real, el monitoreo de comportamiento, el escaneo de scripts y el envío de muestras. Un script complementario llamado DisableDefender.ps1 reforzó estos cambios antes de ser eliminado para cubrir sus huellas.

A continuación, el script utilizó taskkill y el controlador de servicios de Windows para terminar y eliminar Sysmon, Filebeat y varias herramientas de seguridad de endpoint, incluidos productos de Cortex, SentinelOne y Dr.Web. Esto cegó efectivamente el entorno ante la actividad maliciosa.

El atacante también utilizó las Opciones de Ejecución de Archivos de Imagen para forzar a Sysmon, Filebeat y SetACL a un estado de depuración, congelándolos por completo.

Finalmente, usaron appcmd para enumerar los sitios de IIS antes de desinstalar el firewall de aplicaciones web ModSecurity, eliminando la protección contra inyecciones SQL y ataques de cross-site scripting.

Robo de credenciales y tácticas de persistencia

Con las defensas eliminadas, el atacante pasó al robo de credenciales. Importaron un archivo de registro para modificar la configuración de WDigest, obligando a Windows a almacenar las contraseñas en memoria en texto plano en lugar de un formato protegido.

Luego extrajeron credenciales ODBC almacenadas en el registro y ejecutaron herramientas identificadas como g.com y hs.com, que escribieron los datos robados en pass.txt y hash.txt. El controlador de kernel de Mimikatz, mimidrv.sys, se utilizó para volcar credenciales directamente desde la memoria antes de ser eliminado.

Más allá del robo de credenciales, el script contenía código comentado para un consumidor de eventos WMI capaz de borrar automáticamente los registros de eventos de Windows, junto con comandos para eliminar los permisos de archivos en componentes centrales de Windows. Estas entradas sugieren que el atacante estaba preparado para escalar aún más.

Antes de irse, el atacante eliminó los archivos generados, borró las claves de registro vinculadas a WScript y Shell.Application, y limpió los registros de eventos de seguridad, sistema y aplicación. Huntress señaló que la intrusión fue contenida antes de que se robara cualquier dato, principalmente porque el SOC detectó la actividad a tiempo.

Las organizaciones deberían aplicar una higiene de seguridad fundamental para prevenir ataques similares. Los pasos recomendados incluyen mantener el software totalmente actualizado, asegurar un registro adecuado en los servidores web y endpoints, y colocar los servidores orientados a internet detrás de un firewall o VPN cuando sea posible.

El informe también destacó que la respuesta ante incidentes debe llevarse a cabo por completo, ya que volver a poner un servidor en línea antes de que termine la remediación le da a los atacantes una nueva oportunidad de regresar, exactamente como sucedió en este caso.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.