[Actualización] Ransomware Play imita PsExec de Windows para escalar privilegios
Play, una variante de ransomware previamente identificada es evaluada por investigadores de Picus. Los investigadores han detectado que utiliza una táctica sencilla pero eficaz para reducir sospechas durante intrusiones: un binario de servicio personalizado llamado "PSexesvc.exe" que imita la utilidad legítima de administración de Windows PsExec. Este tipo de suplantación convierte operaciones administrativas habituales en una faceta para el movimiento lateral y ejecución binarios maliciosos. Los analistas encontraron este ejecutable junto con herramientas y una nota de rescate en "C:\Users\Public\Music\", una ruta que puede pasar desapercibida en muchas investigaciones por parecer inofensiva.
El hallazgo recalca cómo los operadores de Play combinan técnicas, donde usan binarios personalizados que aparentan ser herramientas de administración (T1036), emplean PsExec genuino y Windows Management Instrumentation (T1047) para moverse lateralmente, y recurren frecuentemente a ofuscación de archivos o información (T1027) para evitar detección estática. En el análisis se presenta que Ransomware Play tuvo una detección más baja de bloqueo, con un 13%.
Para detectar abuso legítimo de herramientas administrativas conviene priorizar señales comportamentales: ejecuciones remotas inesperadas, creación de servicios desde rutas con permisos de escritura por usuarios, actividad de RDP inusual, llamadas a WMI y comandos de PowerShell que no encajan en el patrón de los usuarios. Las alertas deben correlacionar ruta de ejecución, firma, hash, proceso padre, origen remoto, privilegios de cuenta y destino; no basta con disparar por cada evento de PsExec.
Además, los equipos deben investigar eventos simultaneos de detenciones abruptas de servicios, borrado de Event Logs, eliminación de shadow copies y actividad de cifrado anómala en la misma ventana temporal.
Recomendaciones
- Reducir la exposición: Minimizar cualquier acceso remoto que no sea estrictamente necesario.
- Aplicar parches: Mantener actualizados todos los servicios expuestos.
- Actualizar el EDR: Mantener operativa y al día una solución de detección y respuesta en los endpoints.
- Forzar MFA: Requerir autenticación multifactor obligatoria para los accesos remotos y privilegiados.
- Segmentar la red: Aislar y proteger los activos críticos del resto de la infraestructura.
- Restringir la administración: Limitar el uso de herramientas administrativas únicamente a hosts y cuentas aprobadas.
- Proteger los respaldos: Mantener copias de seguridad offline y debidamente resguardadas.
- Implementar pruebas BAS: Utilizar simulación de brechas y pruebas continuas para validar qué técnicas logran evadir los bloqueos y mapear soluciones concretas.
- Monitorear PsExec: En lugar de prohibirlo por completo, mantener una vigilancia constante para distinguir entre actividades operativas benignas y ejecuciones maliciosas.
Taxonomía
| ID Táctica | Nombre Táctica | Técnicas Relacionadas |
|---|---|---|
| Defense Evasion | Defense Evasion |
|
| Defense Evasion | Defense Evasion |
|
| Execution | Execution |
|
| Lateral Movement | Lateral Movement |
|
| Execution | Execution |
|
| Impact | Impact |
|
| Defense Evasion | Defense Evasion |
|
| Impact | Impact |
|
| Defense Evasion | Defense Evasion |
|
| Persistence | Persistence |
|
Referencias
https://gbhackers.com/play-ransomware-minics-psexec/
