Un valor sospechoso en una clave Run con nombre aleatorio activó una alerta de Huntress. Lo que siguió fue un payload DLL oculto en múltiples capas. Aquí tienes el análisis completo del malware, desde la primera alerta hasta el payload final.

Los recursos compartidos administrativos de Windows son funciones integradas que la mayoría de los administradores saben que existen y pocos monitorean activamente. Así es como los atacantes los usan para el movimiento lateral, y así se ve la detección.

Un ejecutable que compila una DLL al vuelo, la carga y luego decodifica una imagen incrustada para entregar su payload. Huntress analiza cada capa de este malware de .NET y muestra qué hay dentro.

Los ataques de tipo living-off-the-land usan las propias herramientas de un sistema en su contra. Huntress examina un payload malicioso de PowerShell encontrado en el mundo real y recorre la cadena de ejecución paso a paso.

Un archivo que parece un registro de aplicación: marcas de tiempo, referencias a versiones de sistema operativo, nada alarmante. En realidad era malware. Huntress desglosa los trucos usados para ocultar un punto de apoyo persistente a plena vista.

Los procesos de actualización de software son superficies de ataque. Huntress detalla el recorrido de desarrollo al reemplazar su utilidad de actualización de agente de terceros, y lo que descubrieron sobre los compromisos de seguridad involucrados.

El Huntress SOC detectó un archivo LNK que leía su payload desde sí mismo (no desde el registro). Un análisis a fondo de una técnica ingeniosa para ejecutar malware a través de archivos de acceso directo de Windows.

Ocultar actividad maliciosa dentro de aplicaciones confiables es una técnica conocida. La técnica de ejecución anidada se discute menos. Huntress explica por qué funciona y cómo los investigadores encuentran aplicaciones vulnerables que pueden explotarse de esta forma.