Cinco etapas, un PNG y una contraseña en claro.

El resumen y el C2

La muestra es un PE32 .NET, no código nativo: todo lo que sigue ocurre en IL y en metadatos CLR, no en instrucciones x86. Oculta un AgentTesla a través de cinco etapas, y cada salto usa una técnica distinta: constantes LZMA de ConfuserEx, un encoding hexadecimal invertido hecho a mano, esteganografía en los píxeles de un PNG, .NET Reactor con aplanamiento de flujo, QuickLZ y un XOR posicional.

El payload final exfiltra por SMTP, con las credenciales dentro del binario. Recolecta contraseñas de 26 navegadores Chromium y 39 aplicaciones más, registra pulsaciones de teclado, vigila el portapapeles y captura la pantalla.

Esa elección de canal no es casual: en esta familia SMTP domina precisamente porque al operador le basta una sola cuenta de correo comprometida. No necesita infraestructura propia, ni dominio, ni servidor que mantener.

La cadena de cinco etapas

Las capas de ofuscación

Constantes de ConfuserEx

El dropper guarda sus cadenas en un array embebido de 11.040 enteros de 32 bits. Un PRNG xorshift sembrado con -794857484 genera 16 claves que se aplican por bloques, evolucionando tras cada uno. El resultado se descomprime con LZMA.

x ^= x >>> 12;  x ^= x << 25;  x ^= x >>> 27     // 16 claves

for (i = 0; i < 11040; i += 16) {
    for (j = 0; j < 16; j++) {
        v = data[i+j] ^ key[j];
        escribir_le32(salida, v);
        key[j] ^= v;                              // la clave evoluciona
    }
}
salida = LZMA_descomprimir(salida)                // 215.920 B de cadenas

Un encoding hexadecimal inventado

Dentro de esas constantes hay una cadena de 212.461 caracteres con un alfabeto de solo 19 símbolos: los 16 dígitos hexadecimales más el espacio, el guion y <. Es hexadecimal leído al revés, separado por espacios, donde los dos símbolos extra comprimen las tiradas de bytes nulos.

El reparto se confirma contra el header DOS canónico de un binario .NET, que es fijo y conocido: los 92.844 caracteres base64 resultantes decodifican a la etapa 2.

Esteganografía en los píxeles

La etapa 3 viaja dentro de un PNG de 354×354 guardado como recurso Bitmap bajo el nombre TaskSchedulerAwaitTaskContinuati.

El keystream tiene periodo 6: 9a ea 9a d2 9a ed. Contra el header DOS conocido sale la clave de inmediato.

.NET Reactor

La etapa 3 cifra sus 237 cadenas con AES, indexadas por desplazamiento, mediante un descifrador de 3.517 instrucciones IL aplanadas en una máquina de estados con unos 370 destinos y predicados opacos. Dos métodos auxiliares resultaron ser constantes: uno devuelve siempre 1 y el otro siempre 0, lo que explica 61 de las ramificaciones.

Los stubs nativos de NecroBit suman unos 70 bytes en total: dos trampolines x86 y x64 del tipo mov rax, imm64; jmp rax. No protegen al descifrador de cadenas, y eso fue determinante para resolverlo estáticamente.

QuickLZ, y dos XOR hechos a mano

El paso a la etapa 4 usa un descompresor propio con magic QCLZ escrito con aritmética de punteros. El último salto no comprime nada: son dos capas de XOR encadenadas, verificadas contra el binario real.

// iNi: XOR con semilla derivada del ultimo byte + clave repetida
clave = Encoding.BigEndianUnicode("OpWegUbUUQ")   // cicla sobre 10 caracteres
k1    = d[ultimo] ^ 0x70
out[i] = d[i] ^ k1 ^ clave[i % 10]                // se descarta el ultimo byte

// ONb: XOR autoclavado -- la cabecera es su propia clave
k = d[0:16]
out[i] = d[16+i] ^ k[i % 16]

// 221.713 B  ->  iNi  ->  221.712 B  ->  ONb  ->  221.696 B = AgentTesla

Y aquí está el detalle que más dice del autor: iNi es la misma primitiva que descifra el stego del PNG dos etapas antes. Idéntica estructura —semilla ^ 0x70 sobre el último byte, clave repetida sobre la longitud de la cadena—, cambiando únicamente el encoding con que la clave pasa a bytes. Es la misma rutina reutilizada, y explica por qué la constante 0x70 reaparece en etapas distintas. Como firma de familia es excelente.

Qué hace el stub

Antes de soltar el payload, la etapa 3 comprueba dónde está.

La persistencia, observada en ejecución

Con los valores reales de configuración, la secuencia que ejecuta es:

GetFolderPath(ApplicationData)                       -> %APPDATA%
File.Exists('%APPDATA%\GIxVTvvWqR.exe')              -> si no existe:
  DirectorySecurity.SetAccessRuleProtection(...)     corta la herencia de ACL
  FileSystemSecurity.AddAccessRule(...)  x9          ACL endurecida
  FileSystemInfo.set_Attributes(...)     x2          oculto / sistema
  File.Copy(muestra.exe -> %APPDATA%\GIxVTvvWqR.exe) autocopia
  WindowsIdentity.GetCurrent().Name                  usuario para el XML
  Path.GetTempFileName() + String.Replace x2         sustituye [LOCATION] y [USERID]
  File.WriteAllText(temp)                            escribe el XML de la tarea
  Process.Start('schtasks.exe', '/Create /TN "Updates\..." /XML "temp"')
  File.Delete(temp)                                  borra el XML

La plantilla del XML no estaba en las cadenas: vive en un recurso del contenedor de la etapa 4, que mi primer extractor se había saltado por tamaño. Sus parámetros dicen bastante:

Qué roba, y cómo

El punto de entrada fija TLS 1.0–1.3, construye el identificador de víctima a partir del nombre de usuario y del equipo, y arma un temporizador de 30 segundos. El constructor estático instala el hook de teclado antes que nada.

La infraestructura que trae dentro

Lo que más llama la atención del payload no es lo que roba, sino que no depende de nada del sistema para hacerlo.

Ese 3DES por reflexión me resolvió un cabo suelto que llevaba horas arrastrando: unas cadenas sueltas —Key, Mode, IV, Padding— que no encajaban en ningún sitio. No eran restos: son los nombres con los que invoca la criptografía para no declararla.

Las dos rutas de descifrado

Los objetivos

Navegadores Chromium, 26 enumerados: Opera, Yandex, Iridium, Chromium, 7Star, Torch, Cool Novo, Kometa, Amigo, Brave, CentBrowser, Chedot, Orbitum, Sputnik, Comodo Dragon, Vivaldi, Citrio, 360, Uran, Liebao, Elements, Epic Privacy, Coccoc, Sleipnir 6, QIP Surf y Coowon. UC Browser, Edge y QQ tienen módulo propio.

Safari para Windows merece mención aparte: no implementa un parser de plist binario, sino que invoca plutil.exe de Apple —un binario firmado de terceros— para convertir el keychain a XML antes de parsearlo. Living-off-the-land con herramienta ajena.

Cookies tienen lista propia y más amplia, con 12 navegadores Gecko vía cookies.sqlite. K-Meleon, WaterFox, BlackHawk y CyberFox solo se tocan para cookies, no para credenciales.

Y 39 módulos de aplicación, cada uno aislado en un On Error de Visual Basic para que el fallo de uno no interrumpa la cadena:

Lo que venía apagado

Varias capacidades están compiladas pero inertes. Lo interesante es que se puede demostrar: en los dos casos el interruptor tiene un único escritor —el constructor estático, que lo pone a cero— y los lectores lo usan como guarda.

Las tres comparten causa: esta compilación salió del constructor con varias opciones sin configurar. Es un recordatorio útil de que «el malware tiene la capacidad X» y «el malware ejecuta X» son afirmaciones distintas, y que la diferencia a veces son dos bytes en un constructor estático.

Detección

Seis reglas YARA, de lo más genérico a lo más específico, ancladas en bytes verificados sobre los binarios y no en conjeturas:

Las cinco etapas quedan cubiertas, y los controles negativos —el PNG, el blob cifrado, el XML, binarios nativos— no disparan ninguna.

Lo que no pude cerrar

Dos cosas, y ninguna es un detalle.

Nada de esto se observó en un Windows real. Extraje los bytes de las cinco etapas y cada una es un PE estructuralmente válido, y la configuración SMTP sale del propio código que la consume: esa parte es evidencia fuerte. Pero la inyección, la tarea programada, la exclusión de Defender y el tráfico SMTP los leí en el código, no los vi ocurrir. La distinción importa.

El pivoting no se hizo, no salió negativo. Sin acceso a una API de inteligencia de amenazas, me limité a búsqueda web, que no indexa ese tipo de bases. No hubo aciertos ni para el hash ni para el dominio, pero eso no significa «sin actividad conocida»: significa «no consultado». Un pivoting real necesitaría VirusTotal o MalwareBazaar, DNS pasivo sobre el dominio, y correlación por nombres de recurso contra un repositorio de muestras.

Queda también un bloque opaco de unas 900 instrucciones sin una sola cadena, y ocho cadenas de la etapa 3 cuyo desplazamiento se calcula en ejecución.