Un script .vbs sospechoso que persistía mediante una tarea programada llevó a los analistas del Huntress SOC hasta un cargador de AsyncRAT muy ofuscado. Estas son las técnicas avanzadas de CyberChef que usaron para desarmarlo.

La mayoría de los atacantes usan la configuración predeterminada de cálculo de resúmenes criptográficos de API de Cobalt Strike, y los proveedores de detección lo saben. Aquí está la investigación de Huntress sobre cómo funciona esa lógica de detección y qué pasa cuando los atacantes cambian los valores predeterminados.

Un cargador de malware en Python se escondía a plena vista y venía empaquetado con una RAT amigable. Huntress rastrea toda la cadena de infección, desde el script sospechoso hasta lo que estaba diseñado para entregar.

Una clave de ejecución sospechosa llevó a los analistas de Huntress por un camino inesperado, y al final encontraron Cobalt Strike escondido en casi 700 valores del registro, con múltiples capas de ofuscación. Aquí está el análisis completo.