Una variante perfeccionada de SynAck, el ransomware conocido desde fines de 2017, ha sido detectada por Kaspersky Lab. La actual versión se vale de la técnica Process Doppelgänging, para impedir su localización.
Process Doppelgänging implica una inyección de código sin archivos que aprovecha una función Windows incorporada y una implementación no documentada del cargador de procesos de Windows. Al manipular las transacciones de archivos en modo similar a como lo hace Windows, los ciberdelincuentes pueden simular sus acciones maliciosas como si fueran procesos legítimos e inofensivos, aún en el caso de que estuvieran usando un código malicioso conocido.
Este método nunca antes empleado, hace que no queden rastros, lo cual provoca que la detección resulte sumamente dificultosa.
Anton Ivanov, analista principal de malware, Kaspersky Lab, expresó que “la pugna en el ciberespacio entre ciberdelincuentes y defensores es una historia interminable. La capacidad de la técnica Process Doppelgänging para llevar el malware más allá de las últimas medidas de seguridad, representa una amenaza muy importante, una que a nadie sorprende, ha sido rápidamente aprovechada rápidamente por los atacantes. Nuestro análisis muestra cómo el ransomware SynAck de perfil relativamente bajo, utilizó esa técnica para actualizar su discreción y capacidad de infección. Afortunadamente, la lógica de detección para este ransomware se implementó antes de que apareciera sobre el terreno”.
Con información de: Byte.