Utilización de herramientas legítimas de bajo nivel como arma: Cómo el ransomware evade las protecciones antivirus
Índice
- Introducción
- El “dilema del doble uso”: por qué los atacantes prefieren las herramientas legítimas.
- Por qué es importante la neutralización del antivirus
- Evolución histórica de la neutralización de antivirus
- La cadena de ataque del ransomware
- Etapas del abuso de herramientas legítimas de bajo nivel
- Etapa 1: Herramientas de bajo nivel para la neutralización de antivirus y la escalada de privilegios.
- Etapa 2: Robo de credenciales, manipulación del kernel y herramientas de despliegue de ransomware
- Ejemplos de campañas reales: De antivirus a ransomware
- Mapeo TTP de actores de amenazas (MITRE ATT&CK)
- Tendencias emergentes y amenazas futuras
- Cómo Seqrite Protéjase contra estas actividades
- Recomendaciones para la detección y respuesta ante incidentes relacionados con amenazas avanzadas
- Mejores prácticas y recomendaciones de seguridad
- Conclusión
Introducción:
El ransomware ya no es solo un código malicioso, sino que se gestiona como un negocio. Los ataques modernos se desarrollan en etapas cuidadosamente planificadas, dirigidos a todo tipo de usuarios, desde usuarios domésticos hasta pequeñas y grandes empresas. En lugar de depender únicamente de malware personalizado, los atacantes actuales actúan más como pentesters con malas intenciones: estudian las defensas, buscan puntos débiles y luego utilizan herramientas legítimas de bajo nivel contra los mismos sistemas que se supone que deben proteger.
Consideremos utilidades como Process Hacker, IOBit Unlocker, PowerRun o AuKill. Originalmente, estas herramientas se crearon para ayudar a los equipos de TI a solucionar problemas de sistemas, administrar el registro o trabajar con controladores. Sin embargo, en manos equivocadas, se convierten en armas que se utilizan para desactivar silenciosamente las protecciones antivirus antes de que el ransomware se manifieste.
Por qué los atacantes los prefieren:
- Factor de confianza: Debido a que están firmadas digitalmente y son de uso común, los sistemas de seguridad suelen considerarlas seguras.
- Capacidad: Estas herramientas otorgan a los atacantes control a nivel de sistema, o incluso a nivel de núcleo, algo que el malware común a menudo no puede lograr por sí solo.
- Sigilo: Su actividad parece un trabajo administrativo normal, sin dejar apenas rastro.
Este “dilema del doble uso” es precisamente lo que las hace tan peligrosas: las herramientas diseñadas para solucionar problemas pueden convertirse fácilmente en las armas perfectas para desmantelar la seguridad, todo ello sin levantar sospechas.
Por qué es importante la neutralización del antivirus
Deshabilitar el antivirus no es un simple paso en una campaña de ransomware, sino una táctica deliberada para facilitar la ejecución del malware. Las herramientas de seguridad están diseñadas para bloquear archivos maliciosos, registrar comportamientos sospechosos y alertar a los defensores en tiempo real. Al desactivarlas, los atacantes se aseguran de que sus operaciones continúen sin interrupciones.
Así es como la desactivación de las medidas de seguridad beneficia directamente al atacante:
- El antivirus bloquearía las cargas útiles del ransomware en el momento de su ejecución.
- EDR capturaría y registraría comportamientos anómalos en el cifrado de archivos.
- Los artefactos forenses podrían dar a los equipos del SOC la oportunidad de responder.
- Al desactivar estas protecciones, los atacantes crean una zona silenciosa donde el ransomware puede ejecutarse sin ser detectado.
Evolución histórica de la neutralización de antivirus
Los grupos de ransomware no se han quedado de brazos cruzados, sino que han perfeccionado constantemente sus métodos para eludir las defensas antivirus. Lo que comenzó como simples ataques basados en scripts se ha convertido en operaciones altamente sofisticadas, que incluyen manipulaciones a nivel del kernel y módulos preconfigurados que ahora vienen incluidos de serie en los paquetes de ransomware como servicio (RaaS). La siguiente tabla resume esta evolución:
| periodo | Técnica de neutralización primaria | Familias representativas de ransomware |
| 2015 – 2017 | Scripts básicos (taskkill/net stop) | CryptoLocker, WannaCry |
| 2018 – 2020 | Abuso de hackers de procesos | Ryuk, DoppelPaymer |
| 2021 – 2023 | Manipulación de controladores a nivel de kernel | Conti, LockBit 2.0 |
| 2024 - Presente | Módulos antivirus preempaquetados en kits RaaS | LockBit 3.0, BlackCat |
Con el paso de los años, los atacantes han pasado de ejecutar comandos sencillos a manipular directamente el sistema operativo, y ahora dependen de kits RaaS automatizados que incluyen neutralizadores de antivirus por defecto, lo que hace que estos ataques sean más rápidos, sigilosos y difíciles de detener.
La cadena de ataque del ransomware
Los ataques de ransomware suelen seguir una secuencia de pasos predefinida, conocida como cadena de ataque, que abarca desde la intrusión inicial hasta el cifrado generalizado y la interrupción de las operaciones. Cuando los atacantes utilizan herramientas legítimas de bajo nivel, esta cadena se vuelve aún más sigilosa y eficiente. Cada etapa está cuidadosamente diseñada para sortear las defensas, obtener mayores privilegios y garantizar que el ransomware complete su misión sin ser detectado.
- Acceso inicial Los atacantes acceden al sistema mediante correos electrónicos de phishing, credenciales robadas o el uso indebido de herramientas de acceso remoto (RAT), estableciendo así su primer punto de apoyo.
- Escalada de privilegios – Herramientas como PowerRun o YDArk se utilizan para obtener permisos a nivel de sistema o de núcleo.
- Neutralización de antivirus – El software de seguridad se desactiva deteniendo o descargando los procesos antivirus y EDR.
- Robo de credenciales – Utilidades como Mimikatz extraen contraseñas y tokens almacenados para moverse lateralmente a través de la red.
- Persistencia y limpieza – Herramientas como Unlock_IT o Atool_ExperModel eliminan los registros y desactivan las rutinas de inicio para ocultar los rastros de la intrusión.
- Ejecución de carga útil – Finalmente, se despliega el ransomware, que cifra los archivos mientras se mezcla con la actividad normal del sistema.
Etapas del abuso de herramientas legítimas de bajo nivel
Los atacantes suelen seguir un proceso de dos etapas al explotar utilidades administrativas y de bajo nivel en campañas de ransomware. Cada etapa tiene un objetivo claro y utiliza un conjunto distinto de herramientas:
Etapa 1: Herramientas de bajo nivel para la neutralización de antivirus y la escalada de privilegios.
Los atacantes suelen recurrir a una combinación de desbloqueadores de archivos, finalizadores de procesos, utilidades de escalada de privilegios y extractores de credenciales. Al abusar de estas categorías de herramientas legítimas, desactivan sistemáticamente las defensas antivirus, borran rastros y preparan el entorno para la ejecución del ransomware. La siguiente tabla consolida las herramientas más utilizadas de forma indebida en cuatro categorías principales.
| Propósito legítimo | Escenario de ataque (Uso malicioso + Línea de comandos silenciosa Ejemplo + Diagrama de flujo técnico) | Impacto en la seguridad | |
| Desbloqueador de IOBit | Desbloquear archivos bloqueados | Elimina archivos binarios de antivirus silenciosamente → IOBitUnlocker.exe /delete “C:\Program Files\AV\avp.exe” → Utiliza la API NtUnlockFile para eludir los bloqueos del sistema operativo. | Impide que el antivirus se reinicie o se actualice. |
| TDSSKiller | Eliminación de rootkit | Abusado para descargar controladores del kernel del antivirus → tdsskiller.exe -silent -tdlfs → Bloquea la recarga de los módulos del kernel del antivirus | Debilita la defensa a nivel de núcleo |
| Explorador del núcleo de Windows (WKE) | Depurador del kernel | Descarga directa de controladores y manipulación de objetos del kernel mediante PsSetCreateProcessNotifyRoutine → el atacante controla el kernel del sistema operativo. | Otorga control total del sistema operativo. |
| Atool_ExperModel | Diagnóstico de registro/proceso | Elimina las claves de inicio del antivirus → atool.exe /regdel HKLM\SOFTWARE\AVVendor\Startup → Rompe la persistencia eliminando las tareas programadas | El antivirus no se inicia automáticamente después de reiniciar el sistema. |
| Hacker de procesos | Administrador de tareas/depurador | Finaliza los procesos del antivirus mediante SeDebugPrivilege → taskkill /IM Antivirusguard.exe /F | Desactiva instantáneamente la monitorización antivirus en tiempo real. |
| ProcesoKO | Finalización rápida del proceso | Finaliza los servicios antivirus al instante → ProcessKO.exe -kill Antivirusservice.exe | Elimina la protección en tiempo real en segundos. |
Etapa 2: Robo de credenciales, manipulación del kernel y herramientas de despliegue de ransomware
Una vez neutralizados los procesos antivirus, los atacantes se centran en robar credenciales, manipular las defensas a nivel del núcleo y ejecutar cargas útiles de ransomware con privilegios elevados. Estas herramientas son mucho más peligrosas porque operan a nivel del sistema o del núcleo, lo que permite a los atacantes moverse lateralmente, deshabilitar las devoluciones de llamada de seguridad y lanzar cargas útiles de cifrado sin interrupción. La siguiente tabla destaca las herramientas más utilizadas indebidamente en esta etapa:
| Propósito legítimo | Escenario de ataque (uso malicioso + ejemplo de línea de comandos silenciosa + flujo técnico) | Impacto en la seguridad | |
| 0th3r_av5.exe | Disfraz de utilidad administrativa | Una herramienta basada en scripts itera silenciosamente sobre los servicios antivirus y elimina procesos de forma masiva simultáneamente. | Neutraliza múltiples agentes antivirus a la vez. |
| Espada HRS | Utilidad de gestión de servicios/controladores (herramienta de administración legítima) | Manipula el estado del servicio/controlador para deshabilitar el antivirus y evitar su reinstalación → ejemplo de comando silencioso: HRSword.exe /service stop “avservice” /disable → detiene el servicio objetivo, establece ServiceStart en deshabilitado y actualiza la ruta del binario del servicio o las opciones de recuperación para evitar el reinicio automático. | Impide la recuperación y reinstalación del servicio antivirus; prolonga el tiempo de permanencia del atacante y dificulta la remediación. |
| YDArk | Manipulación del núcleo | Deshabilita las devoluciones de llamada del antivirus → ydark.exe -unload Antivirusdriver.sys → Engancha PsSetCreateThreadNotifyRoutine para persistencia sigilosa | Debilita las protecciones del núcleo. |
| PowerRun | Ejecutar aplicaciones como SISTEMA | Ejecuta la carga útil del ransomware a nivel del SISTEMA → PowerRun.exe ransomware.exe | Omite las restricciones a nivel de usuario, privilegio completo |
| Desbloquear_IT | Desbloquear archivos/registro | Elimina los registros del antivirus → UnlockIT.exe /unlock HKLM\Security\AVLogs → Borra las entradas del registro y los rastros forenses | Investigación basada en registros de interrupciones |
| HackTool AuKill | Neutralizador antivirus | Elimina explícitamente los procesos de antivirus/EDR → Antiviruskiller.exe –kill –all | Crea un punto ciego para la implementación de ransomware. |
| Mimikatz | Herramienta para extraer credenciales | Extrae las credenciales de administrador almacenadas en caché → privilegio mimikatz.exe::debug sekurlsa::logonpasswords → Lee la memoria LSASS | Permite la propagación lateral mediante credenciales robadas. |
Ejemplos de campañas reales: Desde la eliminación por antivirus hasta el ransomware:
Los operadores de ransomware suelen recurrir a utilidades legítimas de bajo nivel del sistema para neutralizar las protecciones antivirus, escalar privilegios y crear el entorno perfecto para la ejecución del malware. A continuación, se presenta un resumen de las herramientas más utilizadas y las campañas de ransomware en las que se han detectado:
| Campañas de ransomware asociadas | |
| Desbloqueador de IOBit | LockBit Black 3.0, Weaxor, TRINITY, Proton / Shinra, Mimic, Makop, Dharma, Mallox, Phobos |
| Hacker de procesos | Fobos, Makop, Dharma, GlobeImposter 2.0 |
| Explorador del núcleo de Windows (WKE) | Dharma (Familia Cezar), TRINIDAD, MedusaLocker |
| Espada HRS | Fobos, GlobeImposter 2.0, Makop |
| YDArk | Weaxor, Fobos |
| TDSSKiller | BlackBit |
| Atool (Atool_ExperModel) | Trigona |
| ProcesoKO | Makop |
| 0th3r_av5.exe | MedusaLocker |
| Desbloquear_IT | Empresa objetivo |
| Mimikatz | Ransomware INC |
Mapeo TTP de actores de amenazas (MITRE ATT&CK)
Cada campaña de ransomware sigue un patrón, y los atacantes rara vez actúan al azar. Seleccionan cuidadosamente las herramientas y técnicas que se ajustan a sus objetivos en cada etapa del ataque. Al relacionar estas acciones con el marco MITRE ATT&CK, podemos comprender mejor cómo se reutilizan utilidades legítimas de bajo nivel con fines maliciosos.
La tabla que se muestra a continuación ilustra cómo los atacantes progresan desde la escalada de privilegios hasta la desactivación de las defensas, el robo de credenciales y, finalmente, la ejecución de su ransomware, todo ello abusando de herramientas de confianza que nunca fueron diseñadas para fines delictivos. Este mapa facilita a los defensores la visualización de las tácticas del atacante y la identificación de oportunidades para detectar o interrumpir la intrusión antes de que se produzcan daños.
| Fase | Tecnologia | ID de subtécnica MITRE ATT&CK | Accesorios Involucrado | Actividades |
| Escalada de privilegios | Mecanismo de control de elevación por abuso | T1548.002 | PowerRun, WKE, YDArk | Acceso al sistema/núcleo |
| Evasión de defensa | Deshabilitar herramientas de seguridad | T1562.001 | AuKill, IOBit Unlocker, ProcessKO, Process Hacker | Omitir el antivirus/EDR |
| Acceso a credenciales | Volcado de credenciales del sistema operativo | T1003.001 | Mimikatz | Movimiento lateral |
| Persistencia | Modificar registro | T1112 | Desbloquear_TI, Atool_ExperModel | Mantener el estado de antivirus desactivado |
| Evasión de defensa | Eliminación de archivos / Limpieza de registros | T1070.004 | Desbloquear_IT | Elimina pruebas forenses |
| Descubrimiento: | Descubrimiento de servicios del sistema | T1082 | Hacker de procesos, PowerRun | Identificar los procesos antivirus en ejecución |
| Generar impacto | Inhibir la recuperación del sistema | T1490 | ProcessKO, Desbloquear_IT | Opciones de recuperación de bloques |
| Generar impacto | Datos cifrados para impacto | T1486 | Todas las herramientas | Prepara la carga útil del ransomware |
Tendencias emergentes y amenazas futuras
El ransomware es cada vez más rápido, más sofisticado y más difícil de detectar. Las principales tendencias emergentes incluyen:
- Antivirus RaaS – Scripts preconfigurados en los kits de ransomware diseñados para desactivar automáticamente las defensas antivirus.
- Escalada a nivel de kernel – Los atacantes explotan los controladores para obtener un control sigiloso y de alto nivel sobre los sistemas.
- Cadenas multiherramienta – Utilidades como PowerRun, Unlock_IT y AuKill se combinan para sortear las capas de seguridad de forma fiable.
- Técnicas asistidas por IA – La IA ayuda a seleccionar automáticamente el método de neutralización más eficaz para cada entorno.
- Ataques a la cadena de suministro – Las herramientas administrativas infectadas con troyanos y las actualizaciones de software falsas crean nuevos vectores de infección.
- Segmentación de puntos finales en la nube – Las infraestructuras de nube híbrida y sus herramientas de seguridad son cada vez más vulnerables a ataques sofisticados.
Estas tendencias indican que el ransomware está evolucionando hacia operaciones más automatizadas, precisas y evasivas, lo que hace que las estrategias de defensa proactivas sean esenciales.
Cómo Seqrite Protéjase contra estas actividades
Seqrite Ofrecer defensas en capas para contrarrestar tácticas sofisticadas de ransomware y neutralización de antivirus mediante Seqrte EPP:
- Protección de virus – Identifica y bloquea los instaladores troyanizados, los scripts maliciosos y las cargas útiles de ransomware antes de que puedan ejecutarse.
- Autoprotección antivirus – Impide que los atacantes cierren o desinstalen por la fuerza el software antivirus.
- Detección del comportamiento – Monitorea acciones sospechosas como la terminación masiva de procesos y la manipulación del registro.
- Protección de Ransomware – Detecta actividad anómala de cifrado de archivos en tiempo real, deteniendo el ransomware antes de que se propague.
- Control de aplicación Restringe la ejecución de utilidades y herramientas administrativas no autorizadas para evitar su uso indebido. En conjunto, estas funciones proporcionan protección proactiva y reactiva, manteniendo los dispositivos seguros incluso frente a ataques avanzados de varias fases.
Supervisamos continuamente el panorama de amenazas y buscamos de forma proactiva variantes nuevas o modificadas de utilidades utilizadas indebidamente, actualizando rápidamente nuestros módulos de detección y reglas de comportamiento para mantener una cobertura eficaz.
Recomendaciones para la detección y respuesta ante incidentes relacionados con amenazas avanzadas
La protección contra el ransomware moderno requiere una monitorización proactiva y estrategias de respuesta estructuradas:
- Monitoreo de la terminación del proceso – Detectar la terminación masiva sospechosa de procesos antivirus o EDR.
- Auditoría de registros y archivos – Realiza un seguimiento de los cambios en las claves de registro, los registros de eventos y las entradas de inicio relacionadas con el antivirus.
- Análisis de comportamiento – Identificar la ejecución inusual a nivel de sistema y las modificaciones a nivel de núcleo.
- Detección de robo de credenciales – Supervisar los patrones de acceso a LSASS y otros almacenes de credenciales.
- Control de aplicación – Limitar la ejecución a las herramientas administrativas autorizadas para evitar un uso indebido.
- Manuales de jugadas y alertas – Automatice las alertas para secuencias de ataque como escalada de privilegios → terminación del antivirus → cambios en el registro/archivos de registro → ejecución de ransomware.
- Aislamiento de terminales – Aísle rápidamente los dispositivos afectados para contener la amenaza e impedir el movimiento lateral.
Estas medidas ayudan a las organizaciones a detectar ataques sofisticados con antelación y a responder de forma estructurada y oportuna, reduciendo el riesgo de una interrupción a gran escala.
Mejores prácticas y recomendaciones de seguridad
La implementación de medidas de seguridad proactivas puede reducir considerablemente el riesgo de ataques de ransomware y ataques avanzados:
- Implementar la autenticación multifactor para administradores – Exigir la autenticación multifactor para proteger las cuentas privilegiadas contra posibles vulneraciones.
- Habilitar la lista blanca de aplicaciones – Bloquea los archivos binarios no aprobados o no verificados, deteniendo las herramientas maliciosas antes de que puedan ejecutarse.
- Monitorear eventos de terminación – Detectar y alertar continuamente sobre comandos sospechosos como sc stop, net stop o taskkill.
- Restringir el uso de herramientas de bajo nivel – Limitar la ejecución únicamente a las herramientas administrativas críticas para el negocio que hayan sido previamente verificadas.
- Cambios en el registro de auditoría – Realizar un seguimiento y marcar las modificaciones en las claves del registro asociadas con el antivirus, el EDR o las configuraciones de inicio.
- Capacitar a los equipos del SOC – Capacitar a los analistas de seguridad para que detecten los intentos sutiles de eludir o neutralizar las defensas.
- Aislar utilidades administrativas – Proporcionar acceso a herramientas sensibles únicamente a través de servidores intermedios seguros y supervisados.
Seguir estas buenas prácticas garantiza que las organizaciones mantengan un control estricto sobre los sistemas críticos, detecten actividades sospechosas con antelación y minimicen el impacto de posibles ataques.
Conclusión
Las herramientas administrativas de bajo nivel, diseñadas originalmente para optimizar las operaciones de TI, se han convertido cada vez más en armas utilizadas en campañas de ransomware. Los atacantes las explotan para desactivar antivirus y sistemas EDR, mantener una persistencia sigilosa y preparar los sistemas para un cifrado silencioso y a gran escala. Lo que antes eran utilidades confiables se han convertido en algunos de los facilitadores más peligrosos de los ciberataques.
La conclusión principal es clara: las herramientas de doble uso representan un riesgo grave para la seguridad empresarial. Combatir esta amenaza requiere defensas en capas que combinen la fuerza de Quick Heal / Seqrite Protección mediante una gobernanza y un control estrictos de las utilidades administrativas. Al convertir estas herramientas en aliadas de confianza para los defensores, en lugar de armas para los atacantes, las organizaciones pueden negar a los adversarios su ventaja sigilosa y proteger la infraestructura crítica contra las campañas modernas de ransomware.
Supervisamos continuamente el panorama de amenazas, buscamos de forma proactiva variantes de herramientas nuevas o modificadas e incorporamos esos descubrimientos directamente a nuestros módulos de detección, lo que garantiza que nuestra cobertura evolucione a medida que los atacantes cambian de táctica.
Escritores
AutorMatin Tadvi
Coautor: Sumit Patil
