HackTool Win32 Keygen emplea múltiples técnicas de MITRE ATT&CK asociadas a tácticas específicas:

Acceso inicial y ejecución:

• T1204.002 - Ejecución por el usuario: archivo malicioso — El vector de infección principal. Los usuarios son engañados mediante ingeniería social para ejecutar archivos keygen, creyendo que son herramientas legítimas de activación de software.

Evasión de defensas:

• T1027 - Archivos o información ofuscados — Los keygens suelen usar ofuscación de código, empaquetado o cifrado para evadir la detección de antivirus
• T1036 - Enmascaramiento — Los archivos se hacen pasar por generadores de claves legítimos con nombres como "keygen.exe", "crack.exe" o nombres específicos del software
• T1140 - Desofuscación/decodificación de archivos o información — Las cargas maliciosas pueden descifrarse o desempaquetarse después de la ejecución

Persistencia:

• T1547.001 - Ejecución automática al iniciar o arrancar el sistema: claves de registro Run / carpeta de inicio — El malware incluido con los keygens suele establecer persistencia mediante modificaciones del registro
• T1543.003 - Creación o modificación de un proceso del sistema: servicio de Windows — Algunas variantes se instalan como servicios de Windows

Escalada de privilegios:

• T1548 - Abuso de mecanismos de control de elevación — Puede intentar evadir el UAC o solicitar privilegios elevados
• T1055 - Inyección de procesos — Inyecta código malicioso en procesos legítimos para obtener privilegios más altos

Comando y control:

• T1071.001 - Protocolo de capa de aplicación: protocolos web — El malware incluido puede establecer comunicaciones de C2 por HTTPS
• T1573 - Canal cifrado — El tráfico de C2 puede estar cifrado para evadir la detección de red

Impacto:

• T1496 - Secuestro de recursos — Los keygens suelen incluir mineros de criptomoneda
• T1565 - Manipulación de datos — Puede modificar archivos del sistema o binarios de aplicaciones

URLs de origen:

• MITRE ATT&CK User Execution: Malicious File (T1204.002): https://attack.mitre.org/techniques/T1204/002/
• MITRE ATT&CK Privilege Escalation Tactic (TA0004): https://attack.mitre.org/tactics/TA0004/
• MITRE ATT&CK Obfuscated Files or Information (T1027): https://attack.mitre.org/techniques/T1027/

Indicadores de compromiso (IoC)

Indicadores basados en archivos:

• Nombres de archivo comunes: keygen.exe, crack.exe, patch.exe, KMSPico.exe, AutoKMS.exe, activator.exe
• Ubicaciones de archivos: %TEMP%, %APPDATA%\Local\Temp, %USERPROFILE%\Downloads, Desktop
• Características de los archivos: Archivos ejecutables pequeños (normalmente entre 50 KB y 5 MB), a menudo empaquetados u ofuscados
• Firmas digitales: Binarios sin firmar o con certificados inválidos/revocados
• Nota: Los hashes SHA256 específicos varían ampliamente debido a la naturaleza genérica de "HackTool:Win32/Keygen" como detección heurística que cubre miles de variantes. Las organizaciones deben mantener su propia inteligencia de hashes a partir de las muestras detectadas.

Indicadores basados en el registro:

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run — Revisa si hay entradas sospechosas con nombres como "System", "Update", "Service" o cadenas aleatorias
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run — Igual que lo anterior, para persistencia en todo el sistema
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce — Revisa si hay entradas de ejecución única
• HKLM\SYSTEM\CurrentControlSet\Services — Servicios nuevos con nombres sospechosos o que apuntan a ubicaciones %TEMP% o %APPDATA%

Indicadores basados en la red:

• Conexiones salientes a dominios desconocidos inmediatamente después de la ejecución del keygen
• Conexiones HTTPS a dominios conocidos de distribución de malware (por ejemplo, dominios .ru, .cn a menudo asociados con software crackeado)
• Consultas DNS a dominios de pools de minería de criptomoneda (por ejemplo, pool., mine., xmr.)
• Conexiones en puertos inusuales (por ejemplo, 3333, 4444, 8333 para pools de minería)

Indicadores de comportamiento:

• Ejecución de procesos desde %TEMP% o Downloads con conectividad de red
• Nuevas tareas programadas creadas inmediatamente después de la ejecución del keygen
• Procesos secundarios inesperados generados desde los ejecutables keygen (cmd.exe, powershell.exe, wscript.exe)
• Uso elevado de CPU por procesos inesperados (indicador de criptominería)
• Nuevas entradas de registro de autoarranque creadas dentro de los 60 segundos posteriores a la ejecución del keygen