Ciberatacantes ponen a prueba la resistencia de un antivirus: 13 programas, cinco controladores y fallo en la fase fina

Los atacantes introdujeron en el incidente contra una empresa estadounidense 13 programas para desactivar la protección y cinco controladores vulnerables. En el plazo de una hora probaron todo un arsenal de herramientas contra antivirus, prepararon un acceso oculto e intentaron ejecutar Anubis. Pero la fase final del ataque fracasó.

El ataque tuvo lugar en octubre de 2026. Especialistas de Symantec detectaron en la infraestructura de la organización afectada una puerta trasera hasta entonces desconocida llamada Lindnor. El programa estaba en dos servidores Microsoft SQL Server; ambos resultaron ser los únicos servidores de bases de datos de ese tipo entre los equipos comprometidos. No se pudo determinar cómo los atacantes accedieron inicialmente a la red.

En un servidor Lindnor funcionaba bajo el nombre healthcontroller64.exe en un directorio similar a la carpeta de un componente de Chrome. En el otro el malware se hacía pasar por svchelper.exe en un directorio de VMware. Se supone que la puerta trasera se iniciaba como servicio de Windows. El programa transmitía al servidor de control el nombre del equipo y del usuario, información del dominio, la versión del sistema operativo, el proceso en ejecución y la ruta a su propio archivo.

En aproximadamente una hora los atacantes colocaron al menos 13 archivos ejecutables destinados a detener el software de protección. Otros cinco archivos eran controladores vulnerables conocidos con firmas digitales. La técnica BYOVD permite cargar dicho controlador para obtener acceso a nivel de kernel de Windows e interferir con el funcionamiento de las herramientas de seguridad. Según la valoración de Symantec, 11 de las 13 herramientas no habían sido descritas públicamente con anterioridad.

Dos herramientas, gbbsym.exe y symgooq.exe, se hacía pasar por componentes de Symantec y podían enumerar y eliminar callbacks del kernel. Casi todos los programas detectados fueron bloqueados, salvo huntreagent.exe y s1.exe. Los investigadores no obtuvieron muestras de estos últimos, por lo que sus funciones exactas permanecen desconocidas. Por la secuencia de ejecución, los atacantes probaron distintos métodos para sortear la protección.

Los atacantes también instalaron AnyDesk, crearon una cuenta local y prepararon acceso remoto incluso después de iniciar Windows en modo seguro con funciones de red. Una utilidad aparte, safemode.exe, registró AnyDesk entre los servicios permitidos. En ese modo muchos componentes de seguridad no funcionan por completo, lo que pudo facilitar las acciones posteriores de los atacantes.

La etapa final debía ser la ejecución de iservice.exe, el cifrador Anubis. El malware añade la extensión .anubis a los archivos y deja demandas de rescate, amenazando con publicar los datos robados. El programa también incluye un modo de borrado completo del contenido de los archivos. Sin embargo, como mostró la investigación de Symantec, las herramientas de protección bloquearon el módulo de cifrado y no se hallaron evidencias de daños en los archivos.

El grupo Hawkmoth desarrolla un esquema de asociación para la extorsión con Anubis desde finales de 2024. En los últimos 12 meses los delincuentes declararon aproximadamente 96 víctimas, de las cuales el 52% se encuentran en Estados Unidos. Anteriormente los operadores Anubis ya habían llamado la atención por un modo inusual de destrucción de datos, en el que incluso el pago del rescate no permite recuperar los archivos.