Un valor sospechoso en una clave Run con nombre aleatorio activó una alerta de Huntress. Lo que siguió fue un payload DLL oculto en múltiples capas. Aquí tienes el análisis completo del malware, desde la primera alerta hasta el payload final.

Los recursos compartidos administrativos de Windows son funciones integradas que la mayoría de los administradores saben que existen y pocos monitorean activamente. Así es como los atacantes los usan para el movimiento lateral, y así se ve la detección.

Un ejecutable que compila una DLL al vuelo, la carga y luego decodifica una imagen incrustada para entregar su payload. Huntress analiza cada capa de este malware de .NET y muestra qué hay dentro.

Los ataques de tipo living-off-the-land usan las propias herramientas de un sistema en su contra. Huntress examina un payload malicioso de PowerShell encontrado en el mundo real y recorre la cadena de ejecución paso a paso.

Un archivo que parece un registro de aplicación: marcas de tiempo, referencias a versiones de sistema operativo, nada alarmante. En realidad era malware. Huntress desglosa los trucos usados para ocultar un punto de apoyo persistente a plena vista.

El Huntress SOC detectó un archivo LNK que leía su payload desde sí mismo (no desde el registro). Un análisis a fondo de una técnica ingeniosa para ejecutar malware a través de archivos de acceso directo de Windows.