Binarios legítimos de VLC y VMware, usados para cargar malware mediante DLL side-loading en Brasil y Portugal

Los atacantes están convirtiendo software legítimo de Windows en un vehículo de entrega. En tres campañas independientes dirigidas a usuarios de Brasil y Portugal, ejecutables firmados de VLC Media Player, VMware y Microsoft .NET Framework se usaron para cargar bibliotecas maliciosas, dando a los operadores un proceso de aspecto confiable tras el que esconderse.

La técnica es el DLL side-loading. En lugar de manipular un programa conocido, el atacante deja una DLL maliciosa en la misma carpeta y permite que el programa la cargue al arrancar. El ejecutable supera cualquier comprobación de reputación; la biblioteca que tiene al lado es la que hace el daño.

Qué ocurrió

Overlord RAT (Brasil). La primera campaña arranca con correos de phishing que se hacen pasar por notarías brasileñas y avisan al destinatario de un «protesto» pendiente contra su empresa. El señuelo apunta a un supuesto documento legal, pero la descarga es un VBScript que obtiene un ejecutable o un paquete Windows Installer (MSI). Los scripts ocultan su lógica construyendo las cadenas a partir de códigos de carácter en tiempo de ejecución.

Dos de los instaladores de esta cadena usan side-loading. Uno empareja la biblioteca maliciosa con una utilidad legítima de .NET Framework (ngentask.exe); el otro incluye una copia de VLC Media Player. Ambos se descomprimen en una carpeta temporal llamada «Adobe». Las etapas posteriores descargan archivos adicionales desde Dropbox y Google Cloud Storage, añaden exclusiones en Microsoft Defender mediante PowerShell y registran tareas programadas llamadas «Windows Error Reporting» que lanzan un cargador disfrazado de WerFault.exe. Los datos cifrados recuperados de la cadena se decodificaron en shellcode Donut, que ejecuta el payload final por completo en memoria.

Cadena basada en VMware (Portugal). La otra campaña comienza en una página en portugués que promete una «descarga segura de la factura». Un CAPTCHA falso entrega al visitante una imagen ISO. Dentro hay un VBScript ofuscado, una utilidad legítima de instalación de red de VMware (vnetlib.exe), una newdev.dll maliciosa y un archivo de definición de módulo. El binario de VMware es solo el cargador: la DLL descifra con XOR una biblioteca de 64 bits escrita en Pascal, que es la verdadera herramienta de acceso remoto.

Ese payload en Pascal está completo. Puede manejar el ratón y el teclado, ejecutar comandos por PowerShell o CMD, escribir archivos, transmitir la pantalla y abrir shells interactivas ocultas. También puede desinstalarse y borrar sus huellas. Si el servidor de mando y control no responde, lo reintenta cada 3 s, un comportamiento que destaca en la telemetría de red.

Lampion (Portugal). La tercera campaña es una nueva oleada del malware bancario Lampion, entregado mediante phishing de temática financiera con adjuntos ZIP con nombres de comprobantes de pago portugueses («COMPROVATIVO_…»). Sus scripts están rellenados hasta unos 5 MB, aunque el código útil ronda los 5 KB, un truco barato que burla el filtrado por tamaño y ralentiza el análisis.

Las tres operaciones comparten hábitos de entrega y una curiosa afición por el número siete en nombres de archivos y carpetas, pero no hay pruebas de que un único grupo las dirija todas. Trátelas como técnicas emparentadas, no como un actor único confirmado.

Por qué importa

El side-loading anula el reflejo de juzgar un proceso por su ejecutable. Las listas de permitidos del antivirus, las políticas de control de aplicaciones e incluso un analista mirando el árbol de procesos verán vlc.exe o una herramienta de VMware y seguirán adelante. El código malicioso vive en una biblioteca que el proceso cargó desde una carpeta de la que nunca debería haber cargado nada.

Las mismas cadenas muestran también cómo varias acciones de Windows, inofensivas por separado, suman un compromiso: la descarga de un script, una exclusión en Defender, una tarea programada, un binario de confianza cargando una DLL desde una carpeta temporal. Cada una, aislada, es ruido. Juntas, son una intrusión.

Indicadores que buscar

Los valores están «defanged» a propósito; restáurelos solo dentro de su SIEM o plataforma de inteligencia de amenazas.

Por ahora no hay hashes de archivo disponibles para estas cadenas, así que no se lista ninguno.

Qué hacer

1. Genere alertas cuando binarios de confianza carguen bibliotecas desde carpetas con permisos de escritura para el usuario. VLC, las herramientas de VMware y las utilidades de .NET no tienen motivo para ejecutarse desde %TEMP% ni desde una carpeta llamada «Adobe». Los eventos de carga de imagen de Sysmon (Event ID 7) lo hacen visible.
2. Trate las nuevas exclusiones de Defender como incidentes, no como cambios de configuración. Vigile las ejecuciones de Set-MpPreference y Add-MpPreference lanzadas desde scripts.
3. Revise las tareas programadas creadas fuera de sus herramientas de despliegue, sobre todo las que toman prestados nombres de componentes de Windows.
4. Correlacione, no gestione las alertas una a una. Una descarga de script seguida de una exclusión y una tarea programada en cuestión de minutos es una cadena, no tres tickets de baja prioridad.
5. Bloquee o aísle en sandbox los adjuntos ISO y VBScript en la pasarela de correo, y explique a los equipos financieros y legales de las oficinas lusófonas los señuelos de notarías y facturas.
6. Busque los indicadores anteriores en los registros de endpoints y proxy, y aísle cualquier equipo que coincida.

Cadenas como estas tienen éxito porque nadie ha comprobado si el entorno realmente las detendría. Nuestros servicios de penetration testing incluyen exactamente este tipo de ejercicio de assumed breach: comprobamos si una biblioteca cargada por side-loading, una exclusión de Defender por script o una tarea programada renombrada serían detectadas por sus controles antes de que un atacante lo descubra por usted.