Primer Ransomware encontrado que utiliza un "Proceso Doppelgänging" para evadir la detección.

Diego Cortes Robles lunes, mayo 07, 2018Compartir:

Investigadores de seguridad, detectaron el primer Ransomware que utiliza la técnica de "servicios Doppelganging" para evadir su detección.

Este ataque funciona aprovechándose de una falla en las transacciones NTFS , permitiendo ejecutar un proceso malicioso que reemplaza a nivel de memoria al proceso original, logrando así engañar a las aplicaciones anti-malware, ya que estas creen que el malware correspondería al proceso legitimo y no a uno modificado.

Investigadores de Seguridad de Kaspersky, ahora encontraron un nuevo Ramsonware que es una variante de SynAck, que emplea DoppelGanging para evadir sus acciones maliciosas. Esta variante se detecto que apunta a victimas de los Estados Unidos, Kuwait, Alemania e Irán.

Particularmente esta nueva técnica fue presentada en diciembre del año pasado en la Conferencia Blackhat.

Por lo general los desarrolladores de malware empaquetan los códigos para proteger el análisis de estos, haciendo que el trabajo de los analistas de Malware sea mas complicado. Pero en este caso, el código de SynAck fue ofuscado, haciendo la tarea mas difícil aún, ya que con esto será necesario aplicar ingeniería inversa para poder analizar el malware.

SynAck, tiene la capacidad de evadir análisis por SandBox, ya que este se ejecuta de manera automática en un directorio particular, y si este se ejecuta en un directorio incorrecto, este termina y se cierra.

Posterior a la evasión del malware, la ejecución y proceso de encriptación es igual a cualquier otro ransomware, ya que también encripta los archivos, deja el mensaje correspondiente para que las victimas tomen contacto con el atacante y cumplan sus demandas para recuperar sus archivos.