El equipo de investigación de amenazas de Proofpoint ha identificado y analizado Cruciferra, un servicio de crypter utilizado por distintos grupos de ciberdelincuentes para ocultar código malicioso, eludir los controles de seguridad y aumentar la eficacia de sus campañas de infección. Según la compañía, esta herramienta se ha consolidado como uno de los servicios más sofisticados dentro del ecosistema de malware como servicio (MaaS).
El análisis señala que Cruciferra es capaz de distribuir múltiples familias de malware ampliamente conocidas, entre ellas AsyncRAT, Remcos, XWorm, Agent Tesla, Formbook y zgRAT. Gracias a este servicio, los atacantes pueden reutilizar capacidades avanzadas sin necesidad de desarrollarlas por sí mismos, reduciendo la barrera de entrada para ejecutar campañas cada vez más complejas.
Conocido en los entornos clandestinos como "el crypter más letal del mundo clandestino", Cruciferra admite más de 90 variantes de algoritmos criptográficos personalizados. Estos algoritmos se construyen mediante una combinación dinámica de componentes procedentes de diferentes sistemas de cifrado para ocultar datos y cargas útiles, dificultando el análisis estático y reduciendo la eficacia de las soluciones de seguridad basadas en firmas.
Te puede interesar: El 65% de las empresas víctimas de ransomware culpa a la IA de su eficacia
En este contexto, desde Proofpoint han explicado que "Cruciferra destaca por sus amplias capacidades de evasión de sistemas de defensa, diseño modular y un enfoque altamente personalizado y variado para la protección de la carga."
La investigación revela que el servicio incorpora numerosas técnicas destinadas a impedir la detección, el análisis y la respuesta ante incidentes. Entre ellas se encuentran las llamadas indirectas al sistema, la eliminación de hooks de las API, la manipulación de soluciones EDR, mecanismos de escalada de privilegios y persistencia, así como métodos para ejecutar cargas maliciosas minimizando los rastros forenses.
Según el análisis, las campañas observadas distribuyen el malware a través del correo electrónico y están dirigidas a organizaciones de sectores como los servicios financieros, la sanidad y las administraciones públicas. Los mensajes contienen archivos comprimidos que incluyen un ejecutable legítimo acompañado de una biblioteca de vínculos dinámicos (DLL) maliciosa.
Una vez ejecutado el archivo, Cruciferra utiliza la técnica conocida como DLL side-loading para cargarse en el sistema. A continuación, comprueba que el equipo comprometido no corresponde a un entorno de análisis ni a una máquina virtual utilizada por investigadores de seguridad. Si supera estas comprobaciones, descarga o ejecuta la carga maliciosa definitiva.
Durante la investigación, Proofpoint también ha identificado versiones de producción y variantes aparentemente destinadas a pruebas, incluidas muestras con funcionalidades experimentales. Este hallazgo indica que el servicio continúa evolucionando de forma activa para adaptarse a las mejoras introducidas por las soluciones de seguridad y mantener su capacidad para evitar los mecanismos de detección.
La compañía considera que la combinación de técnicas avanzadas de evasión, protección criptográfica personalizada y desarrollo continuo convierte a Cruciferra en una herramienta relevante dentro del actual ecosistema de malware como servicio. Asimismo, recomienda supervisar comportamientos anómalos en los sistemas y complementar las tecnologías de protección con inteligencia de amenazas para detectar nuevas variantes antes de que alcancen un despliegue masivo.
