El EDR muestra un ejecutable de proveedor con firma válida, en la carpeta temporal de un usuario, cargando una DLL sin firmar situada a su lado. ¿Cómo lo analizas?
Respuesta breve
Trátalo como probable DLL side-loading. La firma cubre el ejecutable, no la DLL que Windows resuelve desde la carpeta de la propia aplicación, así que un binario de confianza puede ejecutar código del atacante. Analiza la DLL en sí (hash, exportaciones, importaciones, comportamiento), confirma que el proceso normalmente reside en otro sitio, busca otras copias del par y no cierres la alerta por la reputación del EXE.
La trampa de este escenario es la palabra «firmado». Una firma válida en un ejecutable es evidencia solo sobre ese archivo.
Por qué el side-loading es la explicación probable
MITRE ATT&CK describe el DLL side-loading como colocar una carga maliciosa junto a una aplicación legítima e invocar esa aplicación para que ejecute el código del atacante. Microsoft documenta por qué funciona: cuando una aplicación no empaquetada carga una DLL sin ruta completa, el cargador comprueba (tras la redirección, los API sets, la redirección por manifiesto SxS, la lista de módulos cargados y las known DLLs) la carpeta desde la que se cargó la aplicación antes que la carpeta del sistema. Microsoft también advierte de que, si un atacante controla uno de los directorios buscados, puede colocar allí una copia maliciosa de la DLL. Una copia de un EXE firmado de un proveedor en una carpeta escribible por el usuario con una DLL al lado encaja exactamente.
Pasos de triaje
- Aislar y preservar el par y anotar la ruta completa; una herramienta de proveedor normalmente vive en una ubicación de instalación de confianza.
- Analizar la DLL: hash, firma (o su ausencia), fecha de compilación, exportaciones comparadas con la biblioteca genuina, importaciones, cadenas y qué lanza o a qué se conecta en un sandbox.
- Revisar el árbol de procesos y la línea temporal: ¿cómo llegaron ambos archivos (archivo comprimido, correo, descarga)?
- Buscar el mismo hash, el mismo par de nombres o el mismo patrón de ruta en toda la flota.
Mitigaciones a mencionar
MITRE enumera el control de aplicaciones que bloquea cargas de DLL sospechosas, el endurecimiento con hashes en manifiestos y mantener activado el modo de búsqueda de DLL seguro.
Por qué fallan los distractores
- «Hereda la confianza» y «reputación del EXE» juzgan el archivo equivocado.
- «Borrar y reiniciar» destruye evidencia y deja sin examinar la vía de entrega y otras copias.
Qué quieren los entrevistadores
Reconocer que firmado no significa seguro en contexto, con una ruta disciplinada: análisis de la DLL, ruta y procedencia, búsqueda en la flota.
Posibles preguntas de seguimiento
- ¿Qué directorios busca Windows antes que la carpeta del sistema y qué son las KnownDLLs?
- ¿Cómo confirmarías que las exportaciones de la DLL imitan la biblioteca legítima añadiendo código malicioso?
- ¿Qué detecciones escribirías para un binario firmado ejecutándose desde una ruta escribible por el usuario?