Descripción de la Tecnica
Double File Extension es una técnica utilizada por atacantes para engañar a sistemas y usuarios al mostrar un nombre de archivo que parece inofensivo, pero en realidad contiene un tipo de archivo malicioso. Este método aprovecha la forma en que los sistemas operativos muestran extensiones de archivos, ocultando la extensión real que determina su comportamiento.
La técnica se registra en el MITRE ATT&CK como T1036.007, bajo el grupo attack-pattern. Su objetivo principal es permitir a los atacantes ejecutar código malicioso sin que los usuarios o sistemas de seguridad detecten la amenaza.
¿Cómo Funciona?
Un archivo con una extensión doble, como File.txt.exe, puede mostrarse solo como File.txt en ciertos exploradores de archivos. Sin embargo, el segundo segmento (.exe) es la extensión real que determina cómo se abrirá el archivo. Esto permite a los atacantes ocultar el tipo de archivo malicioso bajo una apariencia legítima.
Este engaño puede ser aprovechado para ejecutar malware, inyectar código malicioso o realizar ataques de tipo exploit. Los sistemas operativos suelen priorizar la extensión más corta en el nombre del archivo, lo que facilita este tipo de ataque.
Actores que la Utilizan
La técnica se ha asociado con diversos actores cibernéticos y amenazas maliciosas. Aunque no se especifican actores particulares en el contexto proporcionado, es una práctica común entre grupos de hackers, ransomware y otros tipos de amenazas que buscan evadir controles de seguridad.
En el MITRE ATT&CK, esta técnica forma parte de un patrón general de engaño mediante la manipulación de datos y archivos, utilizada en ataques a nivel de red y sistema.
Detección
La detección de Double File Extension requiere revisar los nombres de archivos para identificar patrones inusuales. Es importante verificar que el tipo de archivo real (la extensión oculta) coincida con el nombre mostrado.
Los sistemas de seguridad deben incluir mecanismos para validar la extensión real de un archivo, incluso cuando se muestre una extensión diferente. Esto es especialmente crítico en entornos donde se ejecutan archivos descargados o compartidos por usuarios no verificados.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación
Para mitigar el riesgo asociado a Double File Extension, se recomienda:
- Verificación de tipos de archivos: Confirmar que el tipo real del archivo (la extensión oculta) corresponda con su propósito.
- Control de acceso a archivos: Limitar la ejecución de archivos descargados o compartidos sin verificar su origen.
- Actualización de sistemas: Mantener actualizados los sistemas operativos y herramientas de seguridad para detectar patrones similares a este tipo de ataque.