¿Confías en los archivos del sistema de Windows? Uno de ellos albergó código malicioso durante años

Una inusual puerta trasera para Windows permaneció durante años en un único equipo corporativo y almacenaba la dirección de su servidor de control donde casi nadie la buscaría: en la cantidad de espacios dentro del archivo del sistema desktop.ini.

Especialistas de Gen Digital descubrieron el programa malicioso durante la búsqueda de mecanismos sospechosos de persistencia mediante las herramientas de administración de Windows. La puerta trasera se encontraba solo en un equipo con Windows 7 SP1 de 64 bits, conectado a un dominio corporativo. El programa ocupaba solo 12 KB, se hacía pasar por el software Realtek y no coincidía con muestras conocidas de malware.

Para su ejecución, los atacantes crearon una suscripción WMI llamada Realtek. Cada día a las 19:50 ejecutaba el archivo RtkNGUI64.exe desde un directorio que imitaba la carpeta del software legítimo de Realtek. El mecanismo persistía tras el reinicio, pero no iniciaba el programa inmediatamente al arrancar Windows, por lo que la actividad maliciosa comenzaba solo por la tarde.

La principal característica de la puerta trasera resultó ser la forma de almacenar la dirección del servidor de control. El programa abría C:\ProgramData\desktop.ini y omitía los primeros 174 bytes, correspondientes al encabezado habitual del archivo de sistema de Windows. A continuación había líneas formadas solo por espacios.

La puerta trasera contaba el número de espacios en cada línea y trataba los valores obtenidos como códigos de caracteres. Por ejemplo, 100 espacios se convertían en la letra 'd', 105 en 'i' y 97 en 'a'. Diez líneas se unían en la cadena diagrtrack, tras lo cual el programa añadía la terminación .com y obtenía la dirección diagrtrack.com.

El nombre imitaba a DiagTrack, el servicio del sistema Windows relacionado con la telemetría. En un editor de texto habitual el desktop.ini malicioso parecía casi vacío, y la búsqueda habitual de cadenas dentro del ejecutable tampoco ayudaba. Incluso el propio nombre desktop.ini se guardaba en la puerta trasera en dos fragmentos separados.

Al ejecutarse, el programa calculaba un identificador de ocho dígitos del equipo basado en el nombre de usuario, el dominio y el nombre del dispositivo. A continuación enviaba una solicitud de verificación al servidor de control y, ante una respuesta exitosa, procedía al intercambio de datos vía HTTP.

El conjunto de comandos era reducido. El operador podía ejecutar una orden mediante la línea de comandos de Windows, escribir un archivo en el disco o modificar el intervalo de consulta al servidor, que por defecto era de cinco segundos. Los resultados de la ejecución los codificaba la puerta trasera y los enviaba de vuelta.

Al escribir archivos ejecutables, el programa cambiaba temporalmente los dos primeros bytes para que el archivo no contuviera la firma estándar de los programas de Windows durante su creación y renombrado. Tras la escritura, la puerta trasera restauraba los bytes originales. Este método podía interferir con herramientas sencillas de verificación de archivos cuando aparecían en el disco.

El dominio diagrtrack.com se registró en julio de 2020, y la puerta trasera encontrada se compiló el 2 de diciembre de ese mismo año. El archivo de configuración apareció en el equipo infectado aproximadamente tres horas después. El software de protección se instaló solo 21 días después, por lo que no fue posible determinar la vía inicial de infección.

El registro del dominio expiró en julio de 2021, tras lo cual la dirección dejó de funcionar. Sin embargo, la puerta trasera siguió residiendo en el sistema. Después de cada reinicio a las 19:50 el programa volvía a reconstruir el dominio a partir de los espacios e intentaba conectarse con un servidor que ya no existía.

Los especialistas no asociaron el hallazgo con un grupo o una campaña conocida. El único equipo infectado, el formato propio de configuración y la ausencia de muestras similares permiten suponer que el programa pudo ser creado para una operación selectiva. No se pudo determinar con certeza el objetivo de la infección, ya que no se conservaban los comandos del operador ni módulos maliciosos adicionales.