<![CDATA[GETOVERX FORUM Community Support

<![CDATA[GETOVERX FORUM Community Support - Fileless Malware]]> https://forum.getoverx.com/ Fri, 17 Apr 2026 10:07:35 +0000 MyBB <![CDATA[Kovter++ (2021–2023)]]> https://forum.getoverx.com/showthread.php?tid=75 Sat, 29 Nov 2025 16:20:33 +0000 mrwebfeeder]]> https://forum.getoverx.com/showthread.php?tid=75 Nombre: Kovter++
(indica el nombre del malware, incluir alias si los tiene)

Categoría: Fileless malware / Click-fraud trojan
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: Entre 2021–2023 (variantes modernas de la familia Kovter)

Comportamiento (lo que hace y archivos que infecta):
- Variante de la familia Kovter centrada en técnicas casi “fileless”:
- Gran parte del payload reside en el Registro de Windows en lugar de archivos visibles en disco.
- Utiliza PowerShell injection y/o scripts para ejecutar código malicioso en memoria.
- Funcionalidad típica:
- Click-fraud (generación de clics y tráfico web falsos para campañas publicitarias).
- Descarga y ejecución de payloads adicionales bajo demanda (otros troyanos o módulos).
- Persistencia oculta, difícil de detectar con análisis superficial de archivos.
- “Archivos que infecta”:
- No infecta ejecutables como un virus clásico, sino que:
- Abusa de binarios legítimos (por ejemplo,

Code:
powershell.exe

Code:
wscript.exe

) como “hosts” para su código.
- Puede crear ficheros temporales o scripts en directorios de usuario, pero la lógica principal vive en el Registro y en memoria.

Persistencia:
- Describe cómo se mantiene en el sistema:
- Registry-based persistence:
- Guarda código malicioso, scripts o blobs cifrados en claves del Registro (por ejemplo en:
-

Code:
HKCU\Software\Classes

Code:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

- u otras rutas poco visibles).
- Los valores del Registro contienen:
- Código PowerShell ofuscado.
- Comandos que reconstruyen y ejecutan el payload en cada inicio.
- Ejecución mediante binarios de sistema:
- Usa comandos como:
-

Code:
powershell.exe -ExecutionPolicy Bypass ...

Code:
wscript.exe

con scripts embebidos en el Registro.
- Se lanza desde:
- Claves Run/RunOnce.
- Tareas programadas.
- Fileless / bajo rastro en disco:
- Minimiza la presencia de ejecutables propios.
- Se apoya en herramientas legítimas de Windows (LOLBins) para reducir la huella y evadir firmas simples.

Hash real de referencia (SHA-256):
- Añade un hash SHA-256 real de una muestra pública conocida del malware.
- Ejemplo de formato:

Code:
SHA256: 2f05d651514ddf358bd5964464b0f550ac7f5aaf5dc199219ccefc4cc3bfb8ee

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- Mantener las firmas del motor AV actualizadas con patrones específicos de Kovter/Kovter++ (scripts, patrones de Registro, cadenas de PowerShell).
- Ejecutar escaneos completos enfocados en:
- Droppers iniciales (ejecutables o documentos que desencadenan el payload fileless).
- Archivos temporales y scripts usados durante la infección.
- Poner en cuarentena:
- Cualquier binario o script identificado como dropper o instalador.
- Herramientas empaquetadas que lleguen vía phishing o descargas maliciosas.
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Restringir tráfico saliente desde procesos de scripting:
- Limitar conexiones a Internet iniciadas por
Code:
powershell.exe
,
Code:
wscript.exe
y otros intérpretes, salvo excepciones documentadas.
- Bloquear:
- Dominios e IPs asociados a infraestructuras de click-fraud y C2 conocidos.
- Patrones de tráfico HTTP/HTTPS anómalos generados sin interacción del usuario (navegación “fantasma”).
- Aislar el host:
- Si se detecta ejecución reiterada de comandos de PowerShell ligados a publicidad o tráfico web automatizado.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- EDR detect registry-backed code execution:
- Monitorear:
- Creación y modificación de valores de Registro que contengan bloques de código (PowerShell, JS, comando largo) ligados a claves de inicio.
- Procesos legítimos (como
Code:
powershell.exe
) lanzados con comandos largos y ofuscados, provenientes de claves Run/RunOnce o tareas programadas.
- Block PowerShell in user context:
- Aplicar políticas que:
- Restringen el uso de PowerShell en contexto de usuario estándar (solo modo Constrained Language o bloqueado salvo listas blancas).
- Bloqueen
Code:
-ExecutionPolicy Bypass
,
Code:
-EncodedCommand
y patrones similares desde cuentas no administrativas.
- Respuesta automática recomendada:
- Bloquear y matar procesos que:
- Ejecuten PowerShell con parámetros sospechosos.
- Leyan código desde el Registro para autoejecutarse.
- Registrar:
- Claves de Registro tocadas, comandos ejecutados, usuario y hora.
- Eliminar o limpiar:
- Entradas de persistencia (Run/RunOnce, tareas programadas) que apunten a scripts o a PowerShell con payload embebido.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Enviar a Sandbox:
- Adjuntos sospechosos (documentos Office con macros, scripts, ejecutables pequeños) que puedan actuar como dropper de Kovter++.
- Observar si:
- Crean o modifican claves del Registro con blobs de código.
- Lanzan PowerShell con comandos ofuscados que reconstruyen payloads desde el Registro.
- Si se confirma patrón fileless tipo Kovter:
- Bloquear uso de ese archivo en toda la red.
- Añadir hashes y patrones de comportamiento a las reglas internas del EDR y del AV.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- En el caso de Kovter++:
- Realizar una revisión exhaustiva del Registro:
- Eliminar claves de persistencia y valores que contengan código malicioso.
- Documentar:
- Rutas y claves afectadas para usarlas como IOCs internos.
- Endurecer políticas de scripting:
- Limitar permanentemente el uso de PowerShell y otros intérpretes en estaciones de trabajo.
- Revisar si se instalaron payloads adicionales:
- Stealers, RATs u otros módulos descargados durante la infección.

Notas opcionales:
- Kovter++ es un buen ejemplo de malware “fileless” en Windows, donde la detección debe centrarse más en comportamiento y Registro que en simples archivos en disco.]]> Nombre: Kovter++
(indica el nombre del malware, incluir alias si los tiene)

Categoría: Fileless malware / Click-fraud trojan
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: Entre 2021–2023 (variantes modernas de la familia Kovter)

Comportamiento (lo que hace y archivos que infecta):
- Variante de la familia Kovter centrada en técnicas casi “fileless”:
- Gran parte del payload reside en el Registro de Windows en lugar de archivos visibles en disco.
- Utiliza PowerShell injection y/o scripts para ejecutar código malicioso en memoria.
- Funcionalidad típica:
- Click-fraud (generación de clics y tráfico web falsos para campañas publicitarias).
- Descarga y ejecución de payloads adicionales bajo demanda (otros troyanos o módulos).
- Persistencia oculta, difícil de detectar con análisis superficial de archivos.
- “Archivos que infecta”:
- No infecta ejecutables como un virus clásico, sino que:
- Abusa de binarios legítimos (por ejemplo,

Code:
powershell.exe

Code:
wscript.exe

Code:
HKCU\Software\Classes

Code:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Code:
powershell.exe -ExecutionPolicy Bypass ...

Code:
wscript.exe

Code:
SHA256: 2f05d651514ddf358bd5964464b0f550ac7f5aaf5dc199219ccefc4cc3bfb8ee

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- Mantener las firmas del motor AV actualizadas con patrones específicos de Kovter/Kovter++ (scripts, patrones de Registro, cadenas de PowerShell).
- Ejecutar escaneos completos enfocados en:
- Droppers iniciales (ejecutables o documentos que desencadenan el payload fileless).
- Archivos temporales y scripts usados durante la infección.
- Poner en cuarentena:
- Cualquier binario o script identificado como dropper o instalador.
- Herramientas empaquetadas que lleguen vía phishing o descargas maliciosas.
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Restringir tráfico saliente desde procesos de scripting:
- Limitar conexiones a Internet iniciadas por
Code:
powershell.exe
,
Code:
wscript.exe
y otros intérpretes, salvo excepciones documentadas.
- Bloquear:
- Dominios e IPs asociados a infraestructuras de click-fraud y C2 conocidos.
- Patrones de tráfico HTTP/HTTPS anómalos generados sin interacción del usuario (navegación “fantasma”).
- Aislar el host:
- Si se detecta ejecución reiterada de comandos de PowerShell ligados a publicidad o tráfico web automatizado.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- EDR detect registry-backed code execution:
- Monitorear:
- Creación y modificación de valores de Registro que contengan bloques de código (PowerShell, JS, comando largo) ligados a claves de inicio.
- Procesos legítimos (como
Code:
powershell.exe
) lanzados con comandos largos y ofuscados, provenientes de claves Run/RunOnce o tareas programadas.
- Block PowerShell in user context:
- Aplicar políticas que:
- Restringen el uso de PowerShell en contexto de usuario estándar (solo modo Constrained Language o bloqueado salvo listas blancas).
- Bloqueen
Code:
-ExecutionPolicy Bypass
,
Code:
-EncodedCommand
y patrones similares desde cuentas no administrativas.
- Respuesta automática recomendada:
- Bloquear y matar procesos que:
- Ejecuten PowerShell con parámetros sospechosos.
- Leyan código desde el Registro para autoejecutarse.
- Registrar:
- Claves de Registro tocadas, comandos ejecutados, usuario y hora.
- Eliminar o limpiar:
- Entradas de persistencia (Run/RunOnce, tareas programadas) que apunten a scripts o a PowerShell con payload embebido.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Enviar a Sandbox:
- Adjuntos sospechosos (documentos Office con macros, scripts, ejecutables pequeños) que puedan actuar como dropper de Kovter++.
- Observar si:
- Crean o modifican claves del Registro con blobs de código.
- Lanzan PowerShell con comandos ofuscados que reconstruyen payloads desde el Registro.
- Si se confirma patrón fileless tipo Kovter:
- Bloquear uso de ese archivo en toda la red.
- Añadir hashes y patrones de comportamiento a las reglas internas del EDR y del AV.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- En el caso de Kovter++:
- Realizar una revisión exhaustiva del Registro:
- Eliminar claves de persistencia y valores que contengan código malicioso.
- Documentar:
- Rutas y claves afectadas para usarlas como IOCs internos.
- Endurecer políticas de scripting:
- Limitar permanentemente el uso de PowerShell y otros intérpretes en estaciones de trabajo.
- Revisar si se instalaron payloads adicionales:
- Stealers, RATs u otros módulos descargados durante la infección.

Notas opcionales:
- Kovter++ es un buen ejemplo de malware “fileless” en Windows, donde la detección debe centrarse más en comportamiento y Registro que en simples archivos en disco.]]> <![CDATA[GootLoader (2020–2025)]]> https://forum.getoverx.com/showthread.php?tid=74 Sat, 29 Nov 2025 16:20:12 +0000 mrwebfeeder]]> https://forum.getoverx.com/showthread.php?tid=74 Nombre: GootLoader

Categoría: Loader / Fileless basado en JavaScript
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: En torno a 2020 (campañas activas 2020–2025)

Comportamiento (lo que hace y archivos que infecta):
- Cadena de ataque avanzada que combina SEO poisoning y un loader fileless en JavaScript.
- SEO poisoning:
- Los operadores posicionan sitios maliciosos en motores de búsqueda usando SEO:
- Páginas que se presentan como foros, blogs o repositorios de “documentos” (contratos, plantillas legales, manuales, etc.).
- Cuando la víctima busca un tema específico, hace clic en los primeros resultados y descarga un ZIP o JS malicioso creyendo que es un documento legítimo.
- JS fileless loader:
- El usuario ejecuta un script .js (a menudo desde un ZIP) que:
- Se ejecuta mediante Windows Script Host (

Code:
wscript.exe

Code:
cscript.exe

).
- Descarga y ejecuta payloads adicionales, normalmente usando PowerShell y otras LOLBins.
- La carga útil suele ejecutarse en memoria (modelo casi fileless):
- Puede desplegar Cobalt Strike, troyanos de acceso inicial, cifradores de ransomware u otros malware.
- “Archivos que infecta”:
- No infecta ejecutables PE como un virus tradicional.
- Se centra en:
- Scripts JS descargados y ejecutados por el usuario.
- Ficheros temporales y posibles scripts adicionales en AppData/Temp.
- En muchos casos los “documentos” descargados son en realidad:
- ZIP con un único JS.
- Scripts con nombres que simulan documentos (p.ej. “Contrato2024.js”).

Persistencia:
- Describe cómo se mantiene en el sistema:
- Persistencia mediante scripts y Registro:
- Copias del JS o scripts derivados en:
-

Code:
%AppData%

Code:
%LocalAppData%

u otras carpetas de usuario.
- Creación de claves de inicio automático:
-

Code:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Code:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

- Apuntando a

Code:
wscript.exe

Code:
cscript.exe

con el script JS.
- Cadenas WScript/PowerShell:
- El JS llama a

Code:
wscript.exe

que a su vez lanza

Code:
powershell.exe

con comandos ofuscados.
- Puede usar

Code:
-EncodedCommand

Code:
iex

, descarga remota de payloads y ejecución en memoria.
- Tareas programadas:
- Configura tareas para relanzar periódicamente la cadena WScript/PowerShell o reinyectar el loader si es eliminado.
- El objetivo de la persistencia es mantener:
- Un canal estable para descargar y ejecutar payloads posteriores (ransomware, herramientas de acceso remoto, etc.).

Hash real de referencia (SHA-256):
- Añade un hash SHA-256 real de una muestra pública conocida del malware.
- Ejemplo de formato:

Code:
SHA256: 4eb2684062f533d373ef7c8d651bc4dd3df7e2d3725e2b4d88ad63a80df9e235

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- Ejecutar escaneos completos en:
- Carpetas de Descargas, Escritorio, Documentos y Temp.
- Directorios donde se guardan archivos ZIP y scripts recibidos desde la web.
- Detectar y poner en cuarentena:
- Scripts

Code:
.js
maliciosos relacionados con GootLoader.
- ZIP y empaquetados que contengan un único JS script sospechoso.
- Mantener firmas y reglas YARA enfocadas a:
- Cadenas típicas de GootLoader en JS.
- Artefactos asociados a sus droppers.
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Monitorear tráfico saliente generado por:
-

Code:
wscript.exe
,

Code:
cscript.exe
,

Code:
powershell.exe
.
- Bloquear:
- Conexiones hacia dominios/IPs identificados como alojamiento de payloads de GootLoader.
- URLs poco habituales a las que se conectan scripts recién descargados.
- Aislar temporalmente:
- Equipos que muestren ejecución repetida de scripts JS que descargan contenido remoto y que disparen la cadena hacia ransomware.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- HIPS block WScript/PowerShell chains:
- Crear reglas que impidan:
- Que

Code:
wscript.exe
/

Code:
cscript.exe
invoquen

Code:
powershell.exe
salvo en casos muy específicos (lista blanca).
- Ejecución de PowerShell con parámetros:
-

Code:
-ExecutionPolicy Bypass
-

Code:
-EncodedCommand
- Descarga y ejecución directa desde URLs (

Code:
Invoke-WebRequest
,

Code:
Invoke-Expression
).
- EDR detect hidden JS execution:
- Monitorizar:
- Ejecución de numerosos scripts JS desde carpetas de Descargas/Temp.
- Lanzamientos de WScript/CScript sin interacción visible del usuario.
- Respuesta automática:
- Matar procesos encadenados JS → WScript → PowerShell cuando coincidan con patrones maliciosos.
- Bloquear hashes de scripts identificados.
- Registrar ruta, usuario, comandos, IPs destino y tiempos para análisis.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Sandbox “document” downloads before opening:
- Analizar en Sandbox:
- Archivos descargados desde resultados de búsqueda (supuestos “contratos”, “plantillas”, “formularios”) que vengan como ZIP o JS.
- Observar si:
- El “documento” es en realidad un script que:
- Llama a WScript/PowerShell.
- Descarga contenido remoto y ejecuta código en memoria.
- Se comporta como loader (sin interfaz de usuario real).
- Si se confirma comportamiento de GootLoader:
- Bloquear el uso de ese archivo en toda la red.
- Añadir sus hashes y patrones (nombres, rutas, dominios) a la base de IOC interna.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Para GootLoader en concreto:
- Revisar los equipos donde se ejecutaron los scripts:
- Verificar si se desplegaron payloads posteriores (Cobalt Strike, ransomware, troyanos).
- Analizar logs de EDR para:
- Detección de movimiento lateral o actividades adicionales tras la ejecución del loader.
- Reforzar la formación de usuarios:
- Alertar sobre “documentos” descargados desde resultados de Google/Bing que en realidad son scripts.
- Endurecer políticas:
- Bloquear por defecto la ejecución de

Code:
.js
desde carpetas de usuario.
- Restringir WScript/CScript en estaciones donde no sea imprescindible.

Notas opcionales:
- GootLoader es un buen ejemplo de cómo el SEO poisoning puede integrarse con loaders fileless para lanzar ataques complejos, por lo que la detección debe combinar análisis web, de scripts y de comportamiento.]]> Nombre: GootLoader

Categoría: Loader / Fileless basado en JavaScript
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: En torno a 2020 (campañas activas 2020–2025)

Comportamiento (lo que hace y archivos que infecta):
- Cadena de ataque avanzada que combina SEO poisoning y un loader fileless en JavaScript.
- SEO poisoning:
- Los operadores posicionan sitios maliciosos en motores de búsqueda usando SEO:
- Páginas que se presentan como foros, blogs o repositorios de “documentos” (contratos, plantillas legales, manuales, etc.).
- Cuando la víctima busca un tema específico, hace clic en los primeros resultados y descarga un ZIP o JS malicioso creyendo que es un documento legítimo.
- JS fileless loader:
- El usuario ejecuta un script .js (a menudo desde un ZIP) que:
- Se ejecuta mediante Windows Script Host (

Code:
wscript.exe

Code:
cscript.exe

Code:
%AppData%

Code:
%LocalAppData%

u otras carpetas de usuario.
- Creación de claves de inicio automático:
-

Code:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Code:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

- Apuntando a

Code:
wscript.exe

Code:
cscript.exe

con el script JS.
- Cadenas WScript/PowerShell:
- El JS llama a

Code:
wscript.exe

que a su vez lanza

Code:
powershell.exe

con comandos ofuscados.
- Puede usar

Code:
-EncodedCommand

Code:
iex

Code:
SHA256: 4eb2684062f533d373ef7c8d651bc4dd3df7e2d3725e2b4d88ad63a80df9e235

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- Ejecutar escaneos completos en:
- Carpetas de Descargas, Escritorio, Documentos y Temp.
- Directorios donde se guardan archivos ZIP y scripts recibidos desde la web.
- Detectar y poner en cuarentena:
- Scripts

Code:
.js
maliciosos relacionados con GootLoader.
- ZIP y empaquetados que contengan un único JS script sospechoso.
- Mantener firmas y reglas YARA enfocadas a:
- Cadenas típicas de GootLoader en JS.
- Artefactos asociados a sus droppers.
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Monitorear tráfico saliente generado por:
-

Code:
wscript.exe
,

Code:
cscript.exe
,

Code:
powershell.exe
.
- Bloquear:
- Conexiones hacia dominios/IPs identificados como alojamiento de payloads de GootLoader.
- URLs poco habituales a las que se conectan scripts recién descargados.
- Aislar temporalmente:
- Equipos que muestren ejecución repetida de scripts JS que descargan contenido remoto y que disparen la cadena hacia ransomware.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- HIPS block WScript/PowerShell chains:
- Crear reglas que impidan:
- Que

Code:
wscript.exe
/

Code:
cscript.exe
invoquen

Code:
powershell.exe
salvo en casos muy específicos (lista blanca).
- Ejecución de PowerShell con parámetros:
-

Code:
-ExecutionPolicy Bypass
-

Code:
-EncodedCommand
- Descarga y ejecución directa desde URLs (

Code:
Invoke-WebRequest
,

Code:
Invoke-Expression
).
- EDR detect hidden JS execution:
- Monitorizar:
- Ejecución de numerosos scripts JS desde carpetas de Descargas/Temp.
- Lanzamientos de WScript/CScript sin interacción visible del usuario.
- Respuesta automática:
- Matar procesos encadenados JS → WScript → PowerShell cuando coincidan con patrones maliciosos.
- Bloquear hashes de scripts identificados.
- Registrar ruta, usuario, comandos, IPs destino y tiempos para análisis.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Sandbox “document” downloads before opening:
- Analizar en Sandbox:
- Archivos descargados desde resultados de búsqueda (supuestos “contratos”, “plantillas”, “formularios”) que vengan como ZIP o JS.
- Observar si:
- El “documento” es en realidad un script que:
- Llama a WScript/PowerShell.
- Descarga contenido remoto y ejecuta código en memoria.
- Se comporta como loader (sin interfaz de usuario real).
- Si se confirma comportamiento de GootLoader:
- Bloquear el uso de ese archivo en toda la red.
- Añadir sus hashes y patrones (nombres, rutas, dominios) a la base de IOC interna.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Para GootLoader en concreto:
- Revisar los equipos donde se ejecutaron los scripts:
- Verificar si se desplegaron payloads posteriores (Cobalt Strike, ransomware, troyanos).
- Analizar logs de EDR para:
- Detección de movimiento lateral o actividades adicionales tras la ejecución del loader.
- Reforzar la formación de usuarios:
- Alertar sobre “documentos” descargados desde resultados de Google/Bing que en realidad son scripts.
- Endurecer políticas:
- Bloquear por defecto la ejecución de

Code:
.js
desde carpetas de usuario.
- Restringir WScript/CScript en estaciones donde no sea imprescindible.

Notas opcionales:
- GootLoader es un buen ejemplo de cómo el SEO poisoning puede integrarse con loaders fileless para lanzar ataques complejos, por lo que la detección debe combinar análisis web, de scripts y de comportamiento.]]> <![CDATA[Raspberry Robin (2021–2024)]]> https://forum.getoverx.com/showthread.php?tid=73 Sat, 29 Nov 2025 16:19:44 +0000 mrwebfeeder]]> https://forum.getoverx.com/showthread.php?tid=73 Nombre: Raspberry Robin
(indica el nombre del malware, incluir alias si los tiene)

Categoría: Gusano / Loader para ransomware
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: En torno a 2021 (campañas activas 2021–2024)

Comportamiento (lo que hace y archivos que infecta):
- Gusano moderno que se propaga principalmente a través de dispositivos USB removibles.
- Spreads via USB:
- Infecta memorias USB usando:
- Archivos de acceso directo (

Code:
.LNK

) maliciosos.
- Ejecutables camuflados o rutas engañosas en la unidad.
- El usuario hace doble clic pensando que abre una carpeta o archivo legítimo, pero en realidad ejecuta el loader.
- Loads ransomware payloads:
- Una vez ejecutado en la estación:
- Descarga o carga payloads adicionales desde Internet o desde infraestructura interna.
- Se ha observado como loader para ransomware y otras amenazas de alto impacto.
- Puede:
- Realizar reconocimiento básico del sistema.
- Establecer comunicaciones con C2 para recibir instrucciones o módulos extra.
- Archivos afectados:
- Dispositivos USB:
- Creación de accesos directos y/o ejecutables maliciosos en la raíz o carpetas visibles.
- Estaciones Windows:
- Ficheros temporales y artefactos del loader en rutas de usuario.
- No siempre cifra archivos por sí mismo, pero prepara el terreno para cargadores de ransomware u otras familias.

Persistencia:
- Describe cómo se mantiene en el sistema:
- Persistencia en el endpoint:
- Puede crear claves de inicio automático (Run/RunOnce) apuntando a scripts o binarios en rutas de usuario.
- Uso de tareas programadas para relanzar el loader o componentes auxiliares tras reinicio.
- Persistencia vía USB:
- Mientras las memorias USB comprometidas sigan en circulación:
- Cada conexión a nuevos equipos puede disparar nuevamente la cadena de infección.
- Abuso de PowerShell y ejecución fileless:
- En algunas variantes se apoya en PowerShell y binarios legítimos para ejecutar código en memoria sin dejar mucho rastro en disco.
- Esto le permite:
- Cargar payloads (incluido ransomware) de manera sigilosa.
- Evitar parte de las detecciones basadas únicamente en archivos.

Hash real de referencia (SHA-256):
- Añade un hash SHA-256 real de una muestra pública conocida del malware.
- Ejemplo de formato:

Code:
SHA256: 2ba2c3cfa461a3ffb82e0f848ad2df10bd5ef985e89cdb423f0cf3cf45b40c3c

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- USB behavioral scanning (AV):
- Activar el análisis en tiempo real de dispositivos USB:
- Escanear automáticamente cada nueva unidad removible al conectarse.
- Detectar y bloquear:
- Accesos directos
Code:
.LNK
maliciosos.
- Ejecutables y scripts sospechosos en la raíz del USB.
- Ejecutar escaneos completos en:
- Estaciones que hayan tenido contacto con USB sospechosos.
- Directorios de usuario donde puedan residir droppers y loaders de Raspberry Robin.
- Mantener firmas y reglas YARA enfocadas en:
- Artefactos del loader.
- Payloads asociados (incluyendo variantes de ransomware).
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Limitar el tráfico saliente desde estaciones de usuario hacia:
- Dominios/IPs no aprobados que puedan actuar como C2 o repositorios de payloads.
- Monitorear y bloquear:
- Conexiones hacia hosts desconocidos iniciadas por procesos de scripting (PowerShell, msiexec, etc.) disparados tras conectar un USB.
- Aislar:
- Equipos que muestren indicios de haber descargado o lanzado payloads de ransomware a través de esta cadena (por ejemplo, conexiones a múltiples dominios de malware tras uso de USB).
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- Block PowerShell fileless execution:
- Configurar reglas para:
- Bloquear o restringir severamente el uso de PowerShell en contexto de usuario estándar.
- Detectar comandos con
Code:
-ExecutionPolicy Bypass
,
Code:
-EncodedCommand
y uso de URLs remotas.
- Registrar y bloquear procesos que:
- Se disparen justo después de la conexión de un USB.
- Ejecuten scripts sin interacción del usuario.
- Otras detecciones:
- Creación de nuevos ejecutables o accesos directos en la raíz de un USB desde equipos internos.
- Intentos de ejecutar
Code:
autorun
o ficheros del USB con nombres tipo “documento” pero que son EXE/LNK.
- Respuesta recomendada:
- Matar procesos de scripting sospechosos.
- Bloquear hashes de loaders detectados.
- Marcar el equipo como potencialmente preparado para despliegue de ransomware y forzar revisión adicional.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Sandbox autorun executables:
- Enviar a Sandbox:
- Ejecutables y accesos directos provenientes de USB que no se reconozcan como legítimos.
- Observar si:
- Intentan descargar módulos adicionales desde Internet.
- Interactúan con PowerShell u otros LOLBins para cargar payloads en memoria.
- Presentan patrones de pre-ransomware (reconocimiento, comprobación de entorno, contacto con C2).
- Si se confirma comportamiento de Raspberry Robin/loader:
- Bloquear esos archivos a nivel global.
- Añadir sus hashes y patrones como indicadores de compromiso internos.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Específicamente para Raspberry Robin:
- Revisar todos los dispositivos USB usados en el entorno:
- Limpiarlos con el AV de GetOverX Shield.
- Eliminar accesos directos y ejecutables sospechosos.
- Verificar:
- Si se descargaron payloads de ransomware u otros malware en las estaciones.
- Logs de EDR para movimientos posteriores (lateral movement, cifrado, etc.).
- Reforzar políticas:
- Uso controlado de USB (whitelists, cifrado y registros de uso).
- Bloqueo de auto-ejecución y prevención de ejecución directa desde unidades removibles.

Code:
.LNK

Code:
SHA256: 2ba2c3cfa461a3ffb82e0f848ad2df10bd5ef985e89cdb423f0cf3cf45b40c3c

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- USB behavioral scanning (AV):
- Activar el análisis en tiempo real de dispositivos USB:
- Escanear automáticamente cada nueva unidad removible al conectarse.
- Detectar y bloquear:
- Accesos directos
Code:
.LNK
maliciosos.
- Ejecutables y scripts sospechosos en la raíz del USB.
- Ejecutar escaneos completos en:
- Estaciones que hayan tenido contacto con USB sospechosos.
- Directorios de usuario donde puedan residir droppers y loaders de Raspberry Robin.
- Mantener firmas y reglas YARA enfocadas en:
- Artefactos del loader.
- Payloads asociados (incluyendo variantes de ransomware).
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Limitar el tráfico saliente desde estaciones de usuario hacia:
- Dominios/IPs no aprobados que puedan actuar como C2 o repositorios de payloads.
- Monitorear y bloquear:
- Conexiones hacia hosts desconocidos iniciadas por procesos de scripting (PowerShell, msiexec, etc.) disparados tras conectar un USB.
- Aislar:
- Equipos que muestren indicios de haber descargado o lanzado payloads de ransomware a través de esta cadena (por ejemplo, conexiones a múltiples dominios de malware tras uso de USB).
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- Block PowerShell fileless execution:
- Configurar reglas para:
- Bloquear o restringir severamente el uso de PowerShell en contexto de usuario estándar.
- Detectar comandos con
Code:
-ExecutionPolicy Bypass
,
Code:
-EncodedCommand
y uso de URLs remotas.
- Registrar y bloquear procesos que:
- Se disparen justo después de la conexión de un USB.
- Ejecuten scripts sin interacción del usuario.
- Otras detecciones:
- Creación de nuevos ejecutables o accesos directos en la raíz de un USB desde equipos internos.
- Intentos de ejecutar
Code:
autorun
o ficheros del USB con nombres tipo “documento” pero que son EXE/LNK.
- Respuesta recomendada:
- Matar procesos de scripting sospechosos.
- Bloquear hashes de loaders detectados.
- Marcar el equipo como potencialmente preparado para despliegue de ransomware y forzar revisión adicional.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Sandbox autorun executables:
- Enviar a Sandbox:
- Ejecutables y accesos directos provenientes de USB que no se reconozcan como legítimos.
- Observar si:
- Intentan descargar módulos adicionales desde Internet.
- Interactúan con PowerShell u otros LOLBins para cargar payloads en memoria.
- Presentan patrones de pre-ransomware (reconocimiento, comprobación de entorno, contacto con C2).
- Si se confirma comportamiento de Raspberry Robin/loader:
- Bloquear esos archivos a nivel global.
- Añadir sus hashes y patrones como indicadores de compromiso internos.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Específicamente para Raspberry Robin:
- Revisar todos los dispositivos USB usados en el entorno:
- Limpiarlos con el AV de GetOverX Shield.
- Eliminar accesos directos y ejecutables sospechosos.
- Verificar:
- Si se descargaron payloads de ransomware u otros malware en las estaciones.
- Logs de EDR para movimientos posteriores (lateral movement, cifrado, etc.).
- Reforzar políticas:
- Uso controlado de USB (whitelists, cifrado y registros de uso).
- Bloqueo de auto-ejecución y prevención de ejecución directa desde unidades removibles.

Notas opcionales:
- Raspberry Robin ilustra cómo un gusano basado en USB puede servir como eslabón inicial en cadenas de ataque complejas que terminan en ransomware corporativo, por lo que debe tratarse como incidente de alta criticidad, incluso si aún no se ha observado cifrado de archivos.]]> <![CDATA[FILELESS – Kovter]]> https://forum.getoverx.com/showthread.php?tid=51 Sat, 29 Nov 2025 15:57:25 +0000 mrwebfeeder]]> https://forum.getoverx.com/showthread.php?tid=51 Nombre: Kovter
(indica el nombre del malware, incluir alias si los tiene)

Categoría: Fileless malware / Click-fraud trojan
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: Aproximadamente a partir de 2013 (campañas activas en años posteriores)

Comportamiento (lo que hace y archivos que infecta):
- Troyano orientado a fraude de anuncios (ad-fraud / click-fraud) y otras actividades maliciosas, conocido por sus técnicas casi fileless.
- Persistencia en registro; fraude de anuncios; PowerShell:
- Gran parte de la lógica del malware reside en el Registro de Windows en lugar de un ejecutable persistente en disco.
- Utiliza PowerShell y otros binarios legítimos de Windows para ejecutar su payload en memoria.
- Funcionalidades típicas:
- Generación de clics y tráfico web falsos para campañas publicitarias:
- Abrir conexiones HTTP/HTTPS en segundo plano.
- Simular visitas a sitios y clics en anuncios.
- Capacidad de descargar y ejecutar payloads adicionales:
- Puede actuar como loader para otros troyanos o módulos de monetización.
- Evasión de análisis:
- Uso de código ofuscado.
- Abuso de procesos legítimos del sistema.
- “Archivos que infecta”:
- No infecta ejecutables tradicionales; se centra en:
- Almacenar datos/código en el Registro.
- Usar scripts/PowerShell para ejecutar código en memoria.
- Puede crear ficheros temporales o scripts de apoyo, pero la lógica principal no depende de un EXE persistente clásico.

Persistencia:
- Describe cómo se mantiene en el sistema:
- Persistencia en Registro:
- Almacena blobs de código, comandos PowerShell ofuscados o contenido cifrado en claves del Registro, por ejemplo:
-

Code:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

- Otras claves menos evidentes bajo ramas de usuario o sistema.
- Estos valores son invocados para reconstruir el payload en cada inicio de sesión o arranque.
- Ejecución mediante binarios legítimos (LOLBins):
- Usa comandos del tipo:
-

Code:
powershell.exe -ExecutionPolicy Bypass -EncodedCommand ...

Code:
mshta.exe

Code:
wscript.exe

para ejecutar scripts embebidos en el Registro.
- Se apoya en:
- Claves Run/RunOnce.
- Tareas programadas que llaman a estos binarios con parámetros maliciosos.
- Modelo fileless:
- Minimiza la presencia de archivos ejecutables propios en disco.
- Depende del Registro y de procesos legítimos para persistir y ejecutarse, complicando la detección basada sólo en archivos.

Hash real de referencia (SHA-256):
- Añade un hash SHA-256 real de una muestra pública conocida del malware.
- Ejemplo de formato:

Code:
SHA256: e0eae0a847f6b422bba65c94bd2eeaf0db81453d39b7f0e1fd818f5a309d9f8e

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- En Kovter, el objetivo principal del AV son:
- Los droppers iniciales (ejecutables, documentos con macros, scripts) que instalan la lógica fileless.
- Acciones recomendadas:
- Ejecutar escaneos completos para localizar:
- Ejecutables pequeños y documentos sospechosos utilizados como instaladores.
- Scripts en directorios de usuario (Descargas, Temp, AppData) relacionados con la infección.
- Mantener firmas y reglas YARA:
- Enfocadas a patrones específicos de Kovter (cadenas de PowerShell, estructuras de dropper, etc.).
- Poner en cuarentena:
- Cualquier archivo coincidente con firmas/IOC de Kovter.
- Herramientas empaquetadas encontradas en campañas de spam o descargas maliciosas.
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- La actividad de fraude de anuncios y tráfico web automatizado puede detectarse por:
- Peticiones HTTP/HTTPS frecuentes a dominios de publicidad o URLs específicas sin interacción del usuario.
- Medidas sugeridas:
- Limitar tráfico saliente desde:
-
Code:
powershell.exe
,
Code:
mshta.exe
,
Code:
wscript.exe
y otros intérpretes hacia Internet.
- Bloquear:
- Dominios e IPs conocidos asociados a campañas de click-fraud y C2 de Kovter (según IOC disponibles).
- En casos de actividad intensa:
- Aislar temporalmente el host del acceso externo mientras se realiza la limpieza.
- Monitorizar ancho de banda para detectar picos relacionados con tráfico automatizado.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- En Kovter, el foco debe ser:
- Persistencia en registro:
- Detectar creación/modificación de claves Run/RunOnce u otras que:
- Contengan comandos PowerShell largos, codificados u ofuscados.
- Ejecuten binarios del sistema con parámetros sospechosos.
- Uso anómalo de PowerShell:
- Procesos de PowerShell lanzados con:
-
Code:
-ExecutionPolicy Bypass
-
Code:
-EncodedCommand
- Lectura de código desde el Registro seguida de ejecución en memoria.
- Ejecución fileless:
- Procesos legítimos que se convierten en “hosts” de código malicioso sin que exista un EXE asociado en disco.
- Respuesta automática recomendada:
- Bloquear y matar procesos que cumplan patrones de scripting malicioso.
- Registrar claves de Registro modificadas, comandos, usuarios implicados y hora.
- Limpiar claves de inicio y tareas programadas asociadas al comportamiento detectado.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Enviar a Sandbox:
- Adjuntos (documentos, ejecutables) sospechosos de ser droppers de Kovter.
- Scripts de PowerShell o VBS que vengan incrustados en correos o descargas.
- Observar si:
- Modifican el Registro para guardar blobs de código o comandos ofuscados.
- Lanzan PowerShell con parámetros típicos de ejecución fileless.
- Generan tráfico HTTP/HTTPS automatizado hacia múltiples dominios publicitarios.
- Si se confirma patrón de Kovter:
- Bloquear el archivo en todo el entorno.
- Añadir sus hashes y artefactos (claves de Registro, dominios) a la lista interna de IOC para futuras detecciones.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Para un incidente con Kovter:
- Realizar una revisión y limpieza profunda del Registro:
- Eliminar claves Run/RunOnce y otras entradas de persistencia asociadas al malware.
- Revisar políticas de ejecución de PowerShell y scripting:
- Aplicar Constrained Language Mode o bloquear su uso en usuarios estándar.
- Auditoría de tráfico:
- Verificar que se haya detenido el tráfico de click-fraud.
- Ajustar reglas de firewall para prevenir reincidencias.
- Revisar si el equipo actuó como punto para descarga de otros malware:
- Ejecutar escaneos adicionales para detectar posibles payloads secundarios (stealers, RATs, etc.).

Notas opcionales:
- Kovter es uno de los ejemplos clásicos de malware “fileless” en Windows, útil para ilustrar en la biblioteca la importancia de monitorizar el Registro, PowerShell y el comportamiento de red, más allá de los binarios en disco.]]> Nombre: Kovter
(indica el nombre del malware, incluir alias si los tiene)

Categoría: Fileless malware / Click-fraud trojan
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: Aproximadamente a partir de 2013 (campañas activas en años posteriores)

Comportamiento (lo que hace y archivos que infecta):
- Troyano orientado a fraude de anuncios (ad-fraud / click-fraud) y otras actividades maliciosas, conocido por sus técnicas casi fileless.
- Persistencia en registro; fraude de anuncios; PowerShell:
- Gran parte de la lógica del malware reside en el Registro de Windows en lugar de un ejecutable persistente en disco.
- Utiliza PowerShell y otros binarios legítimos de Windows para ejecutar su payload en memoria.
- Funcionalidades típicas:
- Generación de clics y tráfico web falsos para campañas publicitarias:
- Abrir conexiones HTTP/HTTPS en segundo plano.
- Simular visitas a sitios y clics en anuncios.
- Capacidad de descargar y ejecutar payloads adicionales:
- Puede actuar como loader para otros troyanos o módulos de monetización.
- Evasión de análisis:
- Uso de código ofuscado.
- Abuso de procesos legítimos del sistema.
- “Archivos que infecta”:
- No infecta ejecutables tradicionales; se centra en:
- Almacenar datos/código en el Registro.
- Usar scripts/PowerShell para ejecutar código en memoria.
- Puede crear ficheros temporales o scripts de apoyo, pero la lógica principal no depende de un EXE persistente clásico.

Persistencia:
- Describe cómo se mantiene en el sistema:
- Persistencia en Registro:
- Almacena blobs de código, comandos PowerShell ofuscados o contenido cifrado en claves del Registro, por ejemplo:
-

Code:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Code:
powershell.exe -ExecutionPolicy Bypass -EncodedCommand ...

Code:
mshta.exe

Code:
wscript.exe

Code:
SHA256: e0eae0a847f6b422bba65c94bd2eeaf0db81453d39b7f0e1fd818f5a309d9f8e

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- En Kovter, el objetivo principal del AV son:
- Los droppers iniciales (ejecutables, documentos con macros, scripts) que instalan la lógica fileless.
- Acciones recomendadas:
- Ejecutar escaneos completos para localizar:
- Ejecutables pequeños y documentos sospechosos utilizados como instaladores.
- Scripts en directorios de usuario (Descargas, Temp, AppData) relacionados con la infección.
- Mantener firmas y reglas YARA:
- Enfocadas a patrones específicos de Kovter (cadenas de PowerShell, estructuras de dropper, etc.).
- Poner en cuarentena:
- Cualquier archivo coincidente con firmas/IOC de Kovter.
- Herramientas empaquetadas encontradas en campañas de spam o descargas maliciosas.
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- La actividad de fraude de anuncios y tráfico web automatizado puede detectarse por:
- Peticiones HTTP/HTTPS frecuentes a dominios de publicidad o URLs específicas sin interacción del usuario.
- Medidas sugeridas:
- Limitar tráfico saliente desde:
-
Code:
powershell.exe
,
Code:
mshta.exe
,
Code:
wscript.exe
y otros intérpretes hacia Internet.
- Bloquear:
- Dominios e IPs conocidos asociados a campañas de click-fraud y C2 de Kovter (según IOC disponibles).
- En casos de actividad intensa:
- Aislar temporalmente el host del acceso externo mientras se realiza la limpieza.
- Monitorizar ancho de banda para detectar picos relacionados con tráfico automatizado.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- En Kovter, el foco debe ser:
- Persistencia en registro:
- Detectar creación/modificación de claves Run/RunOnce u otras que:
- Contengan comandos PowerShell largos, codificados u ofuscados.
- Ejecuten binarios del sistema con parámetros sospechosos.
- Uso anómalo de PowerShell:
- Procesos de PowerShell lanzados con:
-
Code:
-ExecutionPolicy Bypass
-
Code:
-EncodedCommand
- Lectura de código desde el Registro seguida de ejecución en memoria.
- Ejecución fileless:
- Procesos legítimos que se convierten en “hosts” de código malicioso sin que exista un EXE asociado en disco.
- Respuesta automática recomendada:
- Bloquear y matar procesos que cumplan patrones de scripting malicioso.
- Registrar claves de Registro modificadas, comandos, usuarios implicados y hora.
- Limpiar claves de inicio y tareas programadas asociadas al comportamiento detectado.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Enviar a Sandbox:
- Adjuntos (documentos, ejecutables) sospechosos de ser droppers de Kovter.
- Scripts de PowerShell o VBS que vengan incrustados en correos o descargas.
- Observar si:
- Modifican el Registro para guardar blobs de código o comandos ofuscados.
- Lanzan PowerShell con parámetros típicos de ejecución fileless.
- Generan tráfico HTTP/HTTPS automatizado hacia múltiples dominios publicitarios.
- Si se confirma patrón de Kovter:
- Bloquear el archivo en todo el entorno.
- Añadir sus hashes y artefactos (claves de Registro, dominios) a la lista interna de IOC para futuras detecciones.
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Para un incidente con Kovter:
- Realizar una revisión y limpieza profunda del Registro:
- Eliminar claves Run/RunOnce y otras entradas de persistencia asociadas al malware.
- Revisar políticas de ejecución de PowerShell y scripting:
- Aplicar Constrained Language Mode o bloquear su uso en usuarios estándar.
- Auditoría de tráfico:
- Verificar que se haya detenido el tráfico de click-fraud.
- Ajustar reglas de firewall para prevenir reincidencias.
- Revisar si el equipo actuó como punto para descarga de otros malware:
- Ejecutar escaneos adicionales para detectar posibles payloads secundarios (stealers, RATs, etc.).

Notas opcionales:
- Kovter es uno de los ejemplos clásicos de malware “fileless” en Windows, útil para ilustrar en la biblioteca la importancia de monitorizar el Registro, PowerShell y el comportamiento de red, más allá de los binarios en disco.]]> <![CDATA[FILELESS – Poweliks]]> https://forum.getoverx.com/showthread.php?tid=35 Sat, 29 Nov 2025 15:42:27 +0000 mrwebfeeder]]> https://forum.getoverx.com/showthread.php?tid=35 Nombre: Poweliks

Categoría: Fileless / Malware en memoria
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: Alrededor de 2014

Comportamiento (lo que hace y archivos que infecta):
- Ejemplo clásico de malware fileless en Windows:
- Evita dejar un ejecutable persistente en disco.
- Guarda su lógica en el Registro de Windows y abusa de componentes internos como WMI y PowerShell para ejecutarse.
- Método: WMI + PowerShell
- Utiliza consultas/consumidores de eventos WMI y comandos de PowerShell para cargar y ejecutar el payload en memoria.
- A menudo el código está ofuscado o codificado (por ejemplo, en Base64) dentro de valores del Registro.
- Comportamiento típico:
- Persistencia en registro + WMI:
- Inserta código o comandos en claves del Registro que se ejecutan mediante WMI o procesos legítimos.
- Usa eventos WMI (por ejemplo, eventos de inicio de sesión o arranque) como triggers.
- Minería y clics fraudulentos:
- Puede usar recursos de CPU para minería de criptomonedas.
- Genera tráfico web y clics falsos (click-fraud) para monetizar publicidad.
- En algunas campañas, actúa también como loader:
- Descarga y ejecuta otros componentes maliciosos adicionales.
- “Archivos que infecta”:
- No infecta ejecutables tradicionales; su foco es:
- El Registro, WMI y la ejecución en memoria.
- Crear scripts/droppers iniciales que instalan la lógica fileless y luego pueden eliminarse.

Persistencia:
- Describe cómo se mantiene en el sistema:
- Persistencia en Registro:
- Inserta datos/código en claves de usuario o sistema, por ejemplo:
- Claves Run/RunOnce.
- Claves de configuración donde almacena cadenas ofuscadas que luego son interpretadas por PowerShell.
- Persistencia vía WMI:
- Crea event filters y event consumers WMI que:
- Se activan en eventos como el arranque del sistema o el inicio de sesión.
- Ejecutan comandos de PowerShell o scripts que reconstruyen el payload desde el Registro.
- Ejecución fileless:
- Abusa de binarios legítimos como:
-

Code:
powershell.exe

Code:
wscript.exe

- Ejecuta código en memoria sin escribir un binario persistente en disco.
- La combinación Registro + WMI + PowerShell hace que:
- La detección basada solo en archivos sea poco eficaz.
- Sea imprescindible revisar Registro, WMI y logs de scripting.

Hash real de referencia (SHA-256) – Dropper:
- Añade un hash SHA-256 real de una muestra pública conocida del malware (normalmente del dropper inicial).
- Ejemplo de formato:

Code:
SHA256: 91b8ce38ab8344f564717d8ec91f63ad5acc2c539815f05b06e009f1391d7f6e

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- El foco principal estará en el dropper y scripts iniciales:
- Ejecutar un escaneo completo para localizar:
- Ejecutables, documentos con macros o scripts que instalen Poweliks.
- Mantener firmas y reglas YARA adaptadas a:
- Cadenas de comandos PowerShell ofuscados.
- Patrones típicos de instalación de Poweliks.
- Poner en cuarentena:
- El dropper identificado por el hash de referencia.
- Cualquier otro archivo que reproduzca la misma cadena de infección (macros, scripts, ejecutables pequeños).
- Complementar con:
- Escaneos on-demand tras incidentes de scripting sospechoso (PowerShell/WMI).
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Limitar tráfico saliente de:
-
Code:
powershell.exe
,
Code:
wscript.exe
y otros intérpretes hacia Internet.
- Bloquear:
- Dominios e IPs relacionados con campañas de minería/click-fraud o C2 asociados a Poweliks (según IOC disponibles).
- Tráfico HTTP/HTTPS que simule navegación generada sin intervención del usuario (muchas peticiones automatizadas desde procesos de scripting).
- Aislar temporalmente el host si:
- Se detecta tráfico masivo de publicidad/click-fraud o uso intensivo de CPU asociado a procesos iniciados por scripts de Poweliks.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- En Poweliks, centrarse en:
- Persistencia en registro + WMI:
- Detectar creación/modificación de:
- Event consumers y event filters WMI que ejecutan scripts/PowerShell.
- Claves de Registro que almacenan cadenas de comandos largas, ofuscadas o codificadas.
- Uso anómalo de PowerShell:
- Comandos con:
-
Code:
-ExecutionPolicy Bypass
,
Code:
-EncodedCommand
o similares.
- Extracción de código desde el Registro (reg query + ejecución).
- Ejecución fileless:
- Procesos legítimos que cargan y ejecutan bloques de código en memoria sin archivos en disco.
- Respuesta automática recomendada:
- Bloquear ejecución de PowerShell en contexto de usuario estándar, salvo listas blancas.
- Matar procesos de scripting que:
- Ejecuten comandos ofuscados.
- Estén ligados a eventos WMI sospechosos.
- Registrar:
- Claves de Registro, objetos WMI y comandos implicados, para limpieza y análisis forense.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Enviar a Sandbox:
- Adjuntos de correo, documentos o ejecutables que se sospeche actúen como dropper de Poweliks.
- Observar si:
- El archivo crea/modifica claves de Registro con blobs de código.
- Registra event consumers/filters WMI.
- Lanza PowerShell con parámetros sospechosos y ejecuta código en memoria.
- Si se confirma patrón fileless:
- Bloquear uso de ese archivo dentro de la organización.
- Generar indicadores internos (hashes, nombres de claves, namespaces WMI afectados).
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Específicamente para Poweliks:
- Realizar una limpieza profunda de Registro y WMI:
- Eliminar event consumers y filtros sospechosos.
- Borrar claves con comandos ofuscados asociados al malware.
- Documentar:
- Claves, rutas y objetos WMI comprometidos como IOC internos.
- Endurecer permanentemente:
- Políticas de PowerShell (Constrained Language, bloqueo en usuario estándar).
- Auditoría de cambios en WMI y Registro ligados a mecanismos de arranque.

Notas opcionales:
- Poweliks es uno de los casos más citados de malware fileless, útil como ejemplo en la biblioteca para ilustrar la importancia de monitorizar Registro, WMI y scripting, no sólo archivos en disco.]]> Nombre: Poweliks

Categoría: Fileless / Malware en memoria
(ej.: Ransomware, Infostealer, Troyano bancario, RAT, Loader/Downloader, etc.)

Fecha de descubrimiento: Alrededor de 2014

Comportamiento (lo que hace y archivos que infecta):
- Ejemplo clásico de malware fileless en Windows:
- Evita dejar un ejecutable persistente en disco.
- Guarda su lógica en el Registro de Windows y abusa de componentes internos como WMI y PowerShell para ejecutarse.
- Método: WMI + PowerShell
- Utiliza consultas/consumidores de eventos WMI y comandos de PowerShell para cargar y ejecutar el payload en memoria.
- A menudo el código está ofuscado o codificado (por ejemplo, en Base64) dentro de valores del Registro.
- Comportamiento típico:
- Persistencia en registro + WMI:
- Inserta código o comandos en claves del Registro que se ejecutan mediante WMI o procesos legítimos.
- Usa eventos WMI (por ejemplo, eventos de inicio de sesión o arranque) como triggers.
- Minería y clics fraudulentos:
- Puede usar recursos de CPU para minería de criptomonedas.
- Genera tráfico web y clics falsos (click-fraud) para monetizar publicidad.
- En algunas campañas, actúa también como loader:
- Descarga y ejecuta otros componentes maliciosos adicionales.
- “Archivos que infecta”:
- No infecta ejecutables tradicionales; su foco es:
- El Registro, WMI y la ejecución en memoria.
- Crear scripts/droppers iniciales que instalan la lógica fileless y luego pueden eliminarse.

Persistencia:
- Describe cómo se mantiene en el sistema:
- Persistencia en Registro:
- Inserta datos/código en claves de usuario o sistema, por ejemplo:
- Claves Run/RunOnce.
- Claves de configuración donde almacena cadenas ofuscadas que luego son interpretadas por PowerShell.
- Persistencia vía WMI:
- Crea event filters y event consumers WMI que:
- Se activan en eventos como el arranque del sistema o el inicio de sesión.
- Ejecutan comandos de PowerShell o scripts que reconstruyen el payload desde el Registro.
- Ejecución fileless:
- Abusa de binarios legítimos como:
-

Code:
powershell.exe

Code:
wscript.exe

Code:
SHA256: 91b8ce38ab8344f564717d8ec91f63ad5acc2c539815f05b06e009f1391d7f6e

Mitigación con GetOverX Shield v3.0.2.0:
Describe los pasos recomendados usando los módulos de GetOverX Shield:

Antivirus:
Explica cómo usar el motor AV para detectar y eliminar el ejecutable principal y sus droppers.
- El foco principal estará en el dropper y scripts iniciales:
- Ejecutar un escaneo completo para localizar:
- Ejecutables, documentos con macros o scripts que instalen Poweliks.
- Mantener firmas y reglas YARA adaptadas a:
- Cadenas de comandos PowerShell ofuscados.
- Patrones típicos de instalación de Poweliks.
- Poner en cuarentena:
- El dropper identificado por el hash de referencia.
- Cualquier otro archivo que reproduzca la misma cadena de infección (macros, scripts, ejecutables pequeños).
- Complementar con:
- Escaneos on-demand tras incidentes de scripting sospechoso (PowerShell/WMI).
Firewall:
Indica qué tipo de tráfico debe bloquearse (C2, dominios sospechosos, puertos, etc.) y si es recomendable aislar el host.
- Limitar tráfico saliente de:
-
Code:
powershell.exe
,
Code:
wscript.exe
y otros intérpretes hacia Internet.
- Bloquear:
- Dominios e IPs relacionados con campañas de minería/click-fraud o C2 asociados a Poweliks (según IOC disponibles).
- Tráfico HTTP/HTTPS que simule navegación generada sin intervención del usuario (muchas peticiones automatizadas desde procesos de scripting).
- Aislar temporalmente el host si:
- Se detecta tráfico masivo de publicidad/click-fraud o uso intensivo de CPU asociado a procesos iniciados por scripts de Poweliks.
HIPS/EDR:
Detalla qué comportamiento debe vigilarse:
- Creación masiva de archivos (ransomware)
- Acceso masivo a almacenes de credenciales (stealers)
- Uso anómalo de PowerShell / scripts
- Movimiento lateral, enumeración de red, etc.
Incluye si se debe configurar respuesta automática (matar proceso, bloquear hash, etc.).
- En Poweliks, centrarse en:
- Persistencia en registro + WMI:
- Detectar creación/modificación de:
- Event consumers y event filters WMI que ejecutan scripts/PowerShell.
- Claves de Registro que almacenan cadenas de comandos largas, ofuscadas o codificadas.
- Uso anómalo de PowerShell:
- Comandos con:
-
Code:
-ExecutionPolicy Bypass
,
Code:
-EncodedCommand
o similares.
- Extracción de código desde el Registro (reg query + ejecución).
- Ejecución fileless:
- Procesos legítimos que cargan y ejecutan bloques de código en memoria sin archivos en disco.
- Respuesta automática recomendada:
- Bloquear ejecución de PowerShell en contexto de usuario estándar, salvo listas blancas.
- Matar procesos de scripting que:
- Ejecuten comandos ofuscados.
- Estén ligados a eventos WMI sospechosos.
- Registrar:
- Claves de Registro, objetos WMI y comandos implicados, para limpieza y análisis forense.
Sandbox:
Explica cuándo es recomendable usar el módulo de Sandbox:
- Antes de ejecutar adjuntos de correo
- Antes de instalar software de procedencia dudosa
- Para analizar muestras sospechosas en un entorno aislado
- Enviar a Sandbox:
- Adjuntos de correo, documentos o ejecutables que se sospeche actúen como dropper de Poweliks.
- Observar si:
- El archivo crea/modifica claves de Registro con blobs de código.
- Registra event consumers/filters WMI.
- Lanza PowerShell con parámetros sospechosos y ejecuta código en memoria.
- Si se confirma patrón fileless:
- Bloquear uso de ese archivo dentro de la organización.
- Generar indicadores internos (hashes, nombres de claves, namespaces WMI afectados).
Medidas posteriores al incidente:
Indica acciones adicionales:
- Restaurar desde copias de seguridad offline
- Cambiar contraseñas
- Revisar accesos a cuentas sensibles (banca, VPN, paneles de hosting)
- Revisión de herramientas de administración remota abusadas
- Específicamente para Poweliks:
- Realizar una limpieza profunda de Registro y WMI:
- Eliminar event consumers y filtros sospechosos.
- Borrar claves con comandos ofuscados asociados al malware.
- Documentar:
- Claves, rutas y objetos WMI comprometidos como IOC internos.
- Endurecer permanentemente:
- Políticas de PowerShell (Constrained Language, bloqueo en usuario estándar).
- Auditoría de cambios en WMI y Registro ligados a mecanismos de arranque.