Masquerading

Masquerading es una técnica empleada por los adversarios que consiste en camuflar procesos, archivos o artefactos maliciosos bajo la apariencia de software legítimo, con el objetivo de evadir los controles de seguridad y pasar desapercibidos tanto para herramientas de detección como para analistas.

El principio fundamental de esta técnica es la explotación de la confianza que usuarios y sistemas depositan en nombres, rutas y firmas conocidas. Un proceso que se llama svchost.exe ejecutándose desde C:\Users\Public\ genera muchas menos alarmas iniciales que uno con un nombre desconocido, aunque su comportamiento sea idéntico. Es precisamente esta asimetría de confianza la que hace del masquerading una técnica tan extendida, empleada tanto por grupos de crimeware como por APTs.

Existen diversas formas en las que un adversario puede implementar esta técnica:

• Suplantación de nombres de procesos del sistema (Process Name Spoofing): el malware adopta el nombre de un proceso legítimo del sistema operativo, como lsass.exe, explorer.exe o svchost.exe, pero se ejecuta desde una ruta inusual o con un proceso padre inesperado
• Manipulación de metadatos de los ejecutables: los adversarios modifican los campos de versión, descripción, empresa y copyright del binario malicioso para imitar a software legítimo como Microsoft, Adobe o Google
• Doble extensión de archivos: un archivo llamado factura.pdf.exe se muestra como factura.pdf en sistemas con extensiones ocultas, engañando al usuario para que lo ejecute
• Abuso de rutas del sistema (Path Spoofing): colocar un ejecutable malicioso en una ruta similar a la legítima, como C:\Windows\System32 vs C:\Windows\System 32, aprovechando caracteres similares o espacios
• Right-to-Left Override (RTLO): uso del carácter Unicode U+202E para invertir el orden de los caracteres en el nombre del archivo, mostrando facturafdp.exe como facturapdf.exe ante el usuario
• Masquerading de tareas programadas y servicios: crear servicios o tareas con nombres idénticos o muy similares a los legítimos del sistema para persistir sin levantar sospechas

Un ejemplo representativo es el del malware Dridex, que ha utilizado de forma recurrente nombres de procesos legítimos de Windows y metadatos falsificados para evadir soluciones de seguridad basadas en firmas. De forma similar, el grupo APT29 ha empleado técnicas de masquerading en varias de sus campañas para camuflar herramientas de post-explotación como parte del tráfico y procesos normales del sistema.

Desde el punto de vista defensivo, la detección del masquerading requiere ir más allá del nombre del proceso e implementar controles basados en contexto:

• Verificar que los procesos se ejecutan desde las rutas esperadas del sistema
• Comprobar la relación padre-hijo de los procesos (un svchost.exe legítimo siempre tiene como padre a services.exe)
• Validar las firmas digitales de los ejecutables
• Monitorizar la creación de servicios y tareas programadas con nombres similares a los del sistema