Detecci%C3%B3n_APT

El nombre del fichero que fija el malware es el nombre de un proceso habitual en
sistemas Windows, como es wuauclt.exe; éste se corresponde con el proceso de
‘Windows Update AutoUpdate Client’, utilizado para realizar las actualizaciones
automáticas de Windows, de esta forma intenta ocultarse bajo un nombre de
proceso habitual en este tipo de plataformas para pasar desapercibido. Además, se
incluye en el arranque del sistema adquiriendo así persistencia en el mismo
ejecutándose cada vez que se inicie el equipo.
Una vez el proceso está activo conecta con el servidor de Command and Control a
través del protocolo HTTP. La mayoría de malware utiliza este tipo de protocolo y
puerto por el hecho de que no suelen estar filtrados en los cortafuegos
corporativos. En la siguiente imagen se produce una petición HTTP a la Web
Webks.compreautos.com.br. En la siguiente captura, el malware está
interactuando con el servidor Web malicioso (fíjese que durante el análisis del
malware en el entorno de laboratorio se ha redirigido el dominio malicioso a una IP
local).
Ilustración 16. Solicitud HTTP del malware por nombre DNS
Al no recibir una respuesta válida el malware intenta establecer la conexión
realizando esa misma petición a la dirección IP 211.78.147.229, que tiene fijada en
el código del malware.
39