Un salto que no salta y un ZIP al que le faltan 177 KB
Alguien cogió el gusano de WannaCry, puso a ceros la URL del interruptor de apagado y anuló el salto que la comprobaba. Dos parches, y el sinkhole que frenó la epidemia de mayo de 2017 deja de servir. En el mismo paquete, al ZIP que lleva el motor de cifrado le faltan los últimos 177 KB y con ellos el directorio central: la propia librería ZIP del malware no puede abrirlo. El resultado es un gusano que se propaga sin cifrar nada.
Una clave que es la tabla de reubicaciones y un hilo que arranca donde no debe
ZeuS 2.0.8.9, el bot cuyo codigo se filtro un mes despues de compilarse esta muestra. No esconde su configuracion con una clave: la cifra contra su propia tabla de reubicaciones, que existe en cualquier PE y que nadie mira. Y para inyectarse no usa CreateRemoteThread: reescribe un registro del contexto antes de que el hilo exista, y deja que Windows lo cree donde el diga.
Un payload en 61 trozos y una cabecera PE que se borra sola
Un megabyte de ejecutable del que solo 100 KB son malware: el resto es ruido aleatorio. El payload viaja partido en 61 fragmentos que solo se descifran una vez reunidos, la cabecera PE se reconstruye campo a campo en memoria y se vuelve a borrar al terminar, y no hay ni una cadena ni un import de verdad. La carpeta decía Zeus; es Dridex.
Cinco etapas, un PNG y una contraseña en claro
Un dropper de 604 KB esconde un infostealer tras ConfuserEx, esteganografía en los píxeles de una imagen, .NET Reactor y dos capas de XOR escritas a mano. Cinco etapas hasta el payload, que exfiltra por SMTP con las credenciales dentro del binario.
Ninguna entrada con esa etiqueta.