Descripción de la Tecnica
T1574.011 es una técnica de ataque relacionada con Permissions Weaknesses in Services Registry, donde los adversarios pueden ejecutar payloads maliciosos al alterar configuraciones del Registro asociadas a servicios en Windows. El Registro local de servicios está almacenado en HKLM\SYSTEM\CurrentControlSet\Services, y fallas en los permisos de estas claves permiten a los atacantes redirigir el ejecutable original a uno controlado por ellos, lo que permite la inyección de código malicioso durante el inicio del servicio.
¿Cómo Funciona?
Los adversarios aprovechan las permisos insuficientes en las claves del Registro de servicios para modificar o crear entradas maliciosas. Cuando un servicio se inicia, carga el ejecutable especificado en la clave del Registro. Si el permiso no está correctamente configurado, el atacante puede reemplazar este ejecutable con uno controlado por ellos, permitiendo que su código se ejecute al iniciar el servicio. Este método es especialmente peligroso porque los servicios operan con privilegios elevados y pueden causar daños significativos.
Actores que la Utilizan
Según MITRE ATT&CK, T1574.011 no está asociado a un actor específico. Sin embargo, técnicas similares han sido observadas en ataques de compromise of system services, como ransomware o TTPs de grupos cibernéticos anónimos. No se disponen de datos públicos sobre actores específicos que la utilicen.
Detección
La detección de T1574.011 requiere monitoreo del Registro para identificar modificaciones no autorizadas en las claves de servicios. Las señales incluyen:
- Cambios inesperados en las claves
HKLM\SYSTEM\CurrentControlSet\Services. - Ejecutables maliciosos registrados como "executables" para servicios legítimos.
- Comportamiento anómalos de servicios que inician con tiempos de latencia o consumo de recursos inusuales.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso públicos disponibles.
Mitigación
Para mitigar el riesgo asociado a T1574.011, se recomienda:
- Configuración de permisos minimales: Limitar los permisos del Registro para servicios a usuarios o grupos necesarios.
- Principio de mínima privilegia: Asegurar que los servicios operen con el nivel de privilegio mínimo requerido.
- Monitoreo y auditoría: Implementar herramientas de detección de anomalías en el Registro y en los servicios.
- Actualización constante: Mantener sistemas operativos y servicios actualizados para corregir vulnerabilidades relacionadas con permisos.