Un controlador firmado que debía proteger el sistema fue convertido por hackers en un mata-antivirus — Análisis del servicio Cruciferra

Cuanto más difícil sea detectar un programa malicioso en el disco y en la memoria, más tiempo puede permanecer sin ser descubierto, y el servicio criminal Cruciferra ha combinado varios métodos de ocultación en una sola herramienta. Según Proofpoint, distintos grupos de hackers lo utilizan en decenas de campañas con AsyncRAT, Agent Tesla, Remcos, XWorm, ValleyRAT y Snake Keylogger.

Cruciferra se vende en el foro Exploit desde el otoño de 2025. El servicio empaqueta programas maliciosos listos para usar de modo que los sistemas de protección tengan más dificultad para reconocer su código y detener su ejecución. Los especialistas de Proofpoint hallaron tanto muestras operativas de ataques reales como archivos que, supuestamente, se emplearon para probar nuevas funciones.

El ataque comenzaba con un archivo ZIP que contenía un programa legítimo y una biblioteca DLL maliciosa. Al ejecutarse, el programa cargaba discretamente la biblioteca vecina. Esta comprobaba el entorno, ocultaba la lógica real entre cientos de funciones vacías y preparaba la carga principal.

Antes de ejecutar el malware, Cruciferra desactivaba varios niveles de supervisión por parte de las soluciones de seguridad. En particular, el servicio cargaba el controlador firmado y vulnerable GoFlyDrv.sys y, a través de él, finalizaba procesos de seguridad. Ese método se denomina BYOVD: los atacantes introducen en el sistema un controlador legítimo pero vulnerable y emplean sus privilegios para eludir las defensas.

La carga útil se almacenaba dentro de la sección de servicio del archivo y se descifraba con uno de más de 90 esquemas combinables. Cruciferra los ensamblaba a partir de partes de los algoritmos Keccak, Threefish y de la familia Feistel, por lo que las distintas muestras rara vez se parecían entre sí.

Para el lanzamiento final, el servicio aplicaba una versión modificada de Process Ghosting. Cruciferra creaba un archivo temporal con código malicioso, arrancaba un proceso a partir de él y luego borraba el archivo. En memoria, el proceso seguía ejecutándose aunque ya no existiera un archivo comprobable en el disco. Cambios adicionales hacían que las soluciones de seguridad obtuvieran información de memoria limpiada y dificultaban comparar la imagen en ejecución con el archivo original.

Una serie de ataques fue vinculada por Proofpoint al grupo de habla china TA4922. Desde finales de abril hasta principios de junio, los atacantes enviaron señuelos en nombre del Departamento de Impuestos de la India y entregaron AsyncRAT. Otras campañas imitaban notificaciones de la Administración del Seguro Social de EE. UU. o quejas de huéspedes sobre chinches en hoteles.

Con mayor frecuencia, entre los objetivos observados se encontraban organizaciones financieras, centros médicos y entidades gubernamentales. El 9 de julio, nuevas muestras empaquetadas con Cruciferra aparecían en VirusTotal cada pocos minutos.