Bitdefender ha demostrado que los ataques que manipulan los bind links en Windows pueden ocultar malware de las herramientas de detección y respuesta en endpoints (EDR), poniendo en riesgo la seguridad de sistemas que confían en rutas legítimas.
Por qué importa: Esta técnica permite que el malware se ejecute desde rutas aparentemente confiables, dificultando su detección y facilitando la evasión de defensas basadas en la verificación de rutas de archivos.
Lo esencial
Los bind links son una función legítima de Windows que crea rutas virtuales que apuntan a rutas reales.
Manipular bind links permite redirigir procesos para cargar archivos maliciosos desde rutas confiables.
Esta técnica puede evadir la detección de herramientas EDR y neutralizar mecanismos como AMSI sin alterar los procesos afectados.
Imagen de referencia: SecurityWeek.
Bind links y su función en Windows
Los bind links son implementados por el controlador bindflt.sys y se usan en aplicaciones como Windows Store, Windows Sandbox y contenedores. Funcionan a nivel kernel para redirigir rutas virtuales hacia rutas reales, permitiendo que el sistema acceda a archivos a través de estas rutas transparentes.
Sin embargo, si un atacante modifica el bind link para que apunte a un archivo malicioso bajo su control, el sistema y las herramientas de seguridad pueden seguir viendo la ruta original, ignorando el contenido real que se carga.
Técnicas de ataque detectadas por Bitdefender
Bitdefender identificó tres técnicas principales basadas en bind links. La primera, llamada file-binding, consiste en secuestrar rutas de archivos DLL para que un proceso cargue una DLL maliciosa en lugar de la legítima, afectando por ejemplo a AMSI (Interfaz de Escaneo Antimalware) y permitiendo la ejecución de scripts maliciosos sin ser detectados.
La segunda técnica, process-binding, aplica el mismo principio a imágenes ejecutables, redirigiendo procesos confiables hacia archivos maliciosos para evadir la detección de EDR.
Estas técnicas explotan la confianza que los sistemas tienen en rutas válidas de Windows, haciendo que las defensas basadas en la verificación de rutas sean ineficaces.
Impacto y evaluación de Microsoft
Microsoft ha evaluado estas vulnerabilidades como de baja severidad, argumentando que requieren acceso administrativo para ser explotadas. Sin embargo, Bitdefender advierte que los atacantes suelen obtener privilegios de administrador, lo que hace que estas técnicas sean una amenaza real para la seguridad de los sistemas Windows.
Preguntas frecuentes sobre ataques con bind links en Windows
¿Qué son los bind links en Windows?
Son enlaces a nivel kernel que crean rutas virtuales apuntando a rutas reales, usados para redirección transparente de archivos en el sistema.
¿Por qué los ataques con bind links son difíciles de detectar?
Porque las herramientas de seguridad confían en las rutas visibles, y los bind links pueden redirigir a archivos maliciosos sin cambiar la ruta aparente, engañando a los sistemas de defensa.
