Una nueva forma de piratear Windows 10 y 11 mediante suplantación de DLL

La empresa de ciberseguridad Security Joes ha identificado una nueva variante de un método para interceptar el orden de búsqueda de bibliotecas DLL , que los atacantes pueden utilizar para eludir los mecanismos de seguridad y ejecutar código malicioso en sistemas que ejecutan Windows 10 y Windows 11.

Según un informe de Security Joes, el nuevo enfoque consiste en utilizar ejecutables de la carpeta de confianza de WinSxS y explotarlos utilizando la técnica clásica de suplantación de orden de búsqueda de DLL. El enfoque permite a un ciberdelincuente eliminar la necesidad de escalar privilegios cuando intenta ejecutar código malicioso en una computadora comprometida, así como introducir archivos binarios potencialmente vulnerables en la cadena de ataque.

El secuestro del orden de búsqueda de DLL implica manipular el orden de búsqueda utilizado para cargar una DLL para ejecutar cargas útiles maliciosas para eludir la seguridad, la persistencia y la escalada de privilegios. Estos ataques se dirigen a aplicaciones que no especifican la ruta completa a las bibliotecas que necesitan, sino que se basan en un orden de búsqueda predefinido para encontrar las DLL necesarias en el disco.

Los atacantes aprovechan este comportamiento moviendo archivos binarios legítimos del sistema a directorios no estándar que contienen DLL maliciosos con los mismos nombres que los legítimos, de modo que se selecciona la biblioteca maliciosa en lugar de la DLL real.

Security Joes advierte que puede haber más archivos binarios en la carpeta WinSxS que sean susceptibles a este tipo de suplantación de orden de búsqueda de DLL, lo que requiere que las organizaciones tomen las precauciones adecuadas para evitar que esta técnica de explotación ocurra en sus entornos.

La compañía recomienda monitorear de cerca todas las actividades realizadas por los archivos binarios ubicados en la carpeta WinSxS, centrdándose tanto en las comunicaciones de red como en las operaciones de archivos.