Redazione RHC:5 Novembro 2025 12:26
Os invasores estão usando uma técnica avançada envolvendo DLLs de sideload através do Microsoft OneDrive aplicação. Isso permite que eles Executar código malicioso não detectado por mecanismos de segurança.
O ataque usa uma biblioteca DLL modificada como um ferramenta para sequestrar processos legítimos do Windows e garantir a persistência nos sistemas infectados. Este método é particularmente eficaz porque evita as alterações de código persistentes que os sistemas de detecção baseados em assinatura normalmente identificam.
De acordo com o aviso de segurança Kas-sec, Os invasores colocaram um arquivo version.dll falsificado no mesmo diretório que o OneDrive.exe, explorando a ordem de pesquisa de dependência do aplicativo.
A técnica visa especificamente version.dll porque muitos aplicativos do Windows, incluindo o OneDrive, dependem dessa biblioteca para recuperar informações sobre a versão do arquivo. Quando OneDrive.exe é iniciado, ele carrega a DLL maliciosa de seu diretório local antes de pesquisar os diretórios do sistema.
Ao colocar estrategicamente a DLL mal-intencionada, os invasores podem executar código dentro do contexto confiável de um aplicativo da Microsoft assinado digitalmente, ignorando efetivamente os controles de segurança projetados para monitorar processos anômalos. Para manter a discrição e evitar encerramentos anormais de aplicativos, os invasores usam métodos de proxy DLL.
A versão maliciosa da DLL exporta as mesmas funções que a biblioteca legítima , encaminhando chamadas de função legítimas para o versão original do System32 do Windows durante a execução de operações em segundo plano.
Essa dupla funcionalidade garante que OneDrive.exe continua a funcionar normalmente, reduzindo a probabilidade de detecção por usuários ou software de segurança. O ataque usa uma técnica avançada de gancho que aproveita o tratamento de exceções e o PAGE_GUARD sinalizador de proteção de memória.
Em vez dos métodos tradicionais de ganchos embutidos que são facilmente detectados por ferramentas de segurança, essa abordagem aciona intencionalmente exceções de memória para interceptar chamadas de API. Quando OneDrive.exe tenta chamar funções específicas como CreateWindowExW, o código mal-intencionado captura o fluxo de execução por meio de manipuladores de exceção e o redireciona para funções controladas pelo invasor.
O gancho se rearma após cada interceptação usando exceções de uma etapa, mantendo o controle contínuo sobre as funções de API direcionadas.
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.