Hackers están usando más de 2,500 herramientas de seguridad para desactivar defensas antes de atacar

Recientemente se ha descubierto una campaña de ciberataques muy peligrosa que aprovecha una vulnerabilidad olvidada en un controlador legítimo de seguridad para detener herramientas antivirus y de respuesta ante amenazas (EDR) antes de lanzar ransomware o accesos remotos maliciosos. Lo más inquietante es que los atacantes están utilizando más de 2,500 variantes legítimamente firmadas de un driver de seguridad para lograr este objetivo.

¿Cómo funciona esta técnica de evasión?

El corazón de esta amenaza es un driver de seguridad llamado true­sight.sys, desarrollado originalmente por Adlice Software para su antivirus RogueKiller. Este driver contiene una funcionalidad que, si se abusa de ella, permite ejecutar código con privilegios de kernel (nivel más profundo del sistema) y detener prácticamente cualquier proceso de seguridad que esté funcionando en Windows.

Los atacantes han descubierto que incluso en versiones modernas de Windows 11 es posible cargar este controlador antiguo si está firmado de manera válida. Una vez que el driver está activo con privilegios completos, el malware aprovechado puede desactivar defensas de seguridad antes de que funcione cualquier alerta de detección.

Esto permite que ransomware y troyanos de acceso remoto se ejecuten con casi total impunidad, ya que los principales mecanismos de bloqueo y monitoreo quedan inhabilitados.

 ¿De dónde vienen las variantes firmadas?

Lo más llamativo es que los atacantes no usan solo una versión del driver vulnerable, sino más de 2,500 variantes legítimamente firmadas, cada una de ellas aparentemente válida para Windows.

Esto se debe a que se están aprovechando de reglas antiguas de firma de controladores y de versiones firmadas que todavía son aceptadas por el sistema operativo. El resultado es que la técnica funciona incluso contra herramientas de seguridad modernas, ya que Windows las trata como software confiable.

¿Qué herramientas pueden afectar?

La campaña ha demostrado la capacidad de detener o “matar” procesos de seguridad de una amplia gama de soluciones comerciales y corporativas, incluidas herramientas conocidas en el mercado de seguridad empresarial. Entre las afectadas están:

• Agentes de respuesta ante amenazas (EDR)

• Antivirus corporativos

• Plataformas de protección en endpoint

• Soluciones de supervisión y telemetría

Esto significa que, incluso si tu empresa utiliza productos de seguridad populares de proveedores reconocidos, su defensa puede ser neutralizada si el atacante logra cargar el driver vulnerable con privilegios elevados.

Cómo comienza el ataque

Según el análisis de investigadores, la cadena de infección sigue una secuencia común pero peligrosa:

1. Acceso inicial: generalmente a través de un correo de phishing, un instalador falso o un enlace malicioso.

2. Descarga del componente malicioso: una vez que la víctima ejecuta el primer archivo infectado, el malware descarga más módulos desde servidores controlados por los atacantes.

3. Carga del driver vulnerable: el driver true­sight.sys se instala con un nombre común para evitar sospechas y se carga como servicio de Windows.

4. Desactivación de defensas: con el driver ya cargado, se envían comandos al kernel para detener procesos de seguridad antes de que puedan detectar algo.

5. Despliegue de la carga útil: finalmente, se instala el ransomware o el malware de acceso remoto con una visibilidad mínima. 

¿Por qué esta técnica es tan peligrosa?

Este método representa un salto cualitativo en evasión de seguridad, porque no se basa en vulnerabilidades recientes en Windows o software de seguridad, sino en el abuso de un componente legítimo firmado y todavía aceptado por el sistema operativo.

A diferencia de otros ataques que luchan contra antivirus y EDR que detectan comportamientos sospechosos, aquí los atacantes eliminan o desactivan la defensa directamente a nivel de sistema operativo, antes de que estas herramientas siquiera puedan detectar algo.

El resultado: operaciones más silenciosas, mayor probabilidad de éxito y menos oportunidades de respuesta para los equipos de defensa.

Qué significa esto para empresas y usuarios

Para organizaciones, este tipo de ataque significa que:

• Tener un antivirus o EDR ya no es suficiente por sí solo si un atacante puede desactivarlo antes de que actúe.

• La estrategia de defensa debe incluir capas adicionales de protección, como segmentación de red, monitoreo de comportamiento y respuesta automatizada ante anomalías.

• La educación en seguridad y prácticas de prevención de phishing es aún más crítica, ya que la mayoría de estas campañas empiezan con un clic inocente del usuario.

Para usuarios domésticos, si bien este tipo de campaña típicamente afecta a entornos corporativos, la vulnerabilidad también puede explotarse en PCs individuales mal protegidos o con software desactualizado.

La campaña que utiliza más de 2,500 variantes de herramientas de seguridad firmadas para detener defensas antes de lanzar ataques demuestra que los atacantes están adoptando estrategias cada vez más sofisticadas para neutralizar las protecciones tradicionales. 

Este tipo de técnica subraya la importancia de no depender únicamente de firmas o herramientas aisladas para la defensa. En un mundo donde los atacantes pueden explotar componentes legítimos del sistema, las estrategias de seguridad deben evolucionar hacia modelos más dinámicos basados en comportamiento, respuesta en tiempo real y educación continua del usuario.