Archivo se hacía pasar por Realtek: nuevo backdoor permaneció oculto durante años en equipos con Windows

Una puerta trasera inusual para Windows permaneció durante años en un único equipo corporativo y almacenaba la dirección de su servidor de control en un lugar donde casi nadie pensaría buscar: en la cantidad de espacios dentro del archivo del sistema desktop.ini.

Los especialistas de Gen Digital descubrieron el programa malicioso mientras buscaban mecanismos sospechosos de persistencia a través de las herramientas de administración de Windows. La puerta trasera estaba solo en un equipo con Windows 7 SP1 de 64 bits, conectado a un dominio corporativo. El programa ocupaba apenas 12 KB, se hacía pasar por el software de Realtek y no coincidía con muestras conocidas de malware.

Para ejecutarlo, los atacantes crearon una suscripción WMI llamada Realtek. Cada día a las 19:50 iniciaba el archivo RtkNGUI64.exe desde un directorio que parecía la carpeta del software legítimo de Realtek. El mecanismo persistía después del reinicio, pero no iniciaba el programa inmediatamente tras el arranque de Windows, por lo que la actividad maliciosa comenzaba solo por la tarde.

La principal característica de la puerta trasera resultó ser la forma de almacenar la dirección del servidor de control. El programa abría C:\ProgramData\desktop.ini y omitía los primeros 174 bytes, correspondientes al encabezado habitual del archivo de sistema de Windows. A continuación había líneas compuestas solo por espacios.

La puerta trasera contaba el número de espacios en cada línea y trataba los valores obtenidos como códigos de caracteres. Por ejemplo, 100 espacios se convertían en la letra «d», 105 en «i» y 97 en «a». Diez líneas se combinaban en la cadena diagrtrack; luego el programa añadía la terminación .com y obtenía la dirección diagrtrack.com.

El nombre imitaba a DiagTrack, el servicio del sistema Windows relacionado con la telemetría. En un editor de texto convencional el desktop.ini malicioso parecía casi vacío, y la búsqueda habitual de cadenas dentro del ejecutable tampoco ayudaba. Incluso el propio nombre desktop.ini estaba almacenado en la puerta trasera en dos fragmentos separados.

Al iniciarse, el programa calculaba un identificador de ocho dígitos del equipo basado en el nombre de usuario, el dominio y el nombre del dispositivo. Luego enviaba una solicitud de verificación al servidor de control y, si recibía una respuesta satisfactoria, pasaba al intercambio de datos vía HTTP.

El conjunto de comandos era reducido. El operador podía ejecutar un comando a través de la línea de comandos de Windows, escribir un archivo en el disco o cambiar el intervalo de consulta al servidor, que por defecto era de cinco segundos. La puerta trasera codificaba los resultados de la ejecución y los enviaba de vuelta.

Al escribir archivos ejecutables, el programa cambiaba temporalmente los dos primeros bytes para que el archivo no tuviera la firma estándar de un programa de Windows durante su creación y renombrado. Tras la escritura, la puerta trasera restauraba los bytes originales. Esta técnica podía dificultar a herramientas simples la comprobación de archivos cuando aparecían en el disco.

El dominio diagrtrack.com se registró en julio de 2020, y la puerta trasera encontrada se compiló el 2 de diciembre de ese mismo año. El archivo de configuración apareció en el equipo infectado aproximadamente tres horas después. El software de protección se instaló solo 21 días después, por lo que no fue posible determinar el método inicial de infección.

La registración del dominio terminó en julio de 2021, tras lo cual la dirección dejó de funcionar. Sin embargo, la puerta trasera continuó permaneciendo en el sistema. Después de cada reinicio, a las 19:50 el programa volvía a reconstruir el dominio a partir de los espacios e intentaba conectarse con un servidor que ya no existía.

Los especialistas no relacionaron el hallazgo con algún grupo o campaña conocida. El único equipo infectado, el formato propio de configuración y la ausencia de muestras similares sugieren que el programa pudo haberse creado para una operación puntual. No fue posible determinar con certeza el objetivo de la infección, ya que los comandos del operador y los módulos maliciosos adicionales no se conservaron.