El proyecto secreto Magenta

La semana pasada Anonymous filtraba a través de Anonleaks miles de correos entre los que se destapaba que la empresa de seguridad informática HBGary Inc. y la empresa privada contratista del gobierno norteamericano Farallon Research podrían haber estado trabajando en el desarrollo de un nuevo tipo de rootkit para Windows, algo distinto a todo lo anterior, indetectable y casi imposible de eliminar.

Se trata de un rootkit multi-contexto escrito completamente en ensamblador y que ocupa menos de 4K. Se inyecta en la memoria del kernel a través de una técnica de carga parcial por medio de DriverEntry() y es extremadamente persistente porque sigue funcionando incluso si se elimina el fichero .sys original utilizado para la infección (fire-and-forget).

Después de ser cargado, identifica los procesos e hilos activos y se inyecta así mismo vía APC (Asynchronous Procedure Call). Una vez activado, el rootkit se mueve automáticamente a otra región de memoria y vuelve a buscar otros procesos e hilos para obtener más vías de activación adicionales, aspecto que imposibilita prácticamente su detección por medio de la inspección de la memoria física del equipo.

Cuando el rootkit ya está funcionando, es capaz de buscar y ejecutar cualquier comando embebido o mensaje de control existente en la memoria física del sistema comprometido. Esto es ideal porque hace trivial el envío de mensajes C&C a cualquier equipo Windows en red, incluso si tienen el firewall activado. Además, el rootkit incluye características para inyectar estos payloads C&C directamente en los procesos en modo usuario.

En resumen, un rootkit destinado a posibilitar el acceso total a nuestros equipos de forma indetectable. Un proyecto oscuro que podría ser utilizado para vulnerar nuestra privacidad y, en definitiva, una inquietante arma para intentar dominarnos...

Más información en http://crowdleaks.org/hbgary-inc-working-on-secret-rootkit-project-codename-magenta/