Descripción de la Tecnica
Encrypted/Encoded File es una técnica del MITRE ATT&CK (T1027.013) que describe cómo los atacantes utilizan el cifrado o codificación de archivos para ocultar patrones maliciosos, strings o bytes dentro de un archivo. Esta práctica se emplea para impedir la detección automática por sistemas de seguridad y evitar que se identifiquen artefactos maliciosos en archivos usados durante una intrusión.
Esta técnica forma parte de un conjunto más amplio de métodos, incluyendo Software Packing, Steganografía y Embedded Payloads, que comparten el objetivo común de ocultar contenido malicioso en formatos aparentemente legítimos.
Como Funciona
Los atacantes emplean algoritmos de cifrado o métodos de codificación (como base64, URL encoding) para transformar el contenido de un archivo. Esto impide que herramientas de análisis automático detecten patrones sospechosos dentro del archivo. Por ejemplo, un payload malicioso podría ser encriptado y luego insertado en un documento legítimo, como un PDF o una imagen.
El objetivo principal es dificultar la identificación de amenazas por parte de sistemas de detección basados en señales heurísticas o signatures. Este método también se utiliza para evitar que los análisis forenses revelen la presencia de malware en archivos aparentemente inofensivos.
Actores que la Utilizan
Esta técnica está asociada a actores cyberespía y ciberdelincuentes que buscan evadir sistemas de seguridad. Aunque el MITRE ATT&CK no especifica nombres de actores, se ha observado en ataques de alto nivel donde los atacantes utilizan métodos de encodificación para mantener la operación sin ser detectados.
Detección
La detección de esta técnica requiere análisis de comportamiento y análisis de archivos. Los sistemas de seguridad deben revisar patrones inusuales en archivos, como:
- Cifrados no estándar o algoritmos poco comunes.
- Patrones de codificación que no se encuentran en aplicaciones legítimas.
- Archivos con tamaños anómalos o comportamientos inesperados durante la carga o ejecución.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación
Para mitigar el riesgo asociado a esta técnica, se recomienda:
- Usar sistemas de detección basados en comportamiento que analicen archivos y procesos para identificar patrones sospechosos.
- Implementar monitoreo continuo de archivos y redirecciones, especialmente en entornos con acceso a recursos externos.
- Actualizar reglas de detección para incluir algoritmos de cifrado y codificación maliciosos conocidos.
- Realizar auditorías periódicas de sistemas y archivos, con un enfoque en formatos que suelen ser objetivo de atacantes (ej. documentos, imágenes, arquivos comprimidos).