Descripción de la Tecnica
La técnica "Modify Registry" (MITRE ATT&CK T1112) es un patrón de ataque que permite a los adversarios interactuar con el Registro de Windows para lograr objetivos como evasión de defensas, persistencia y ejecución de código. Este método es ampliamente utilizado en ataques cibernéticos para modificar configuraciones críticas o almacenar herramientas maliciosas en áreas del Registro que requieren permisos de administrador. La modificación directa del Registro puede ser parte de estrategias más grandes de compromiso, como la instauración de backdoors o la alteración de políticas de seguridad.
Como Funciona
El Registro de Windows es una estructura central que almacena configuraciones de sistema y aplicaciones. Los atacantes pueden usar herramientas como el comando
Reg integrado en Windows (https://attack.mitre.org/software/S0075) o otros programas remotos para modificar valores específicos del Registro, especialmente en ubicaciones protegidas. La capacidad de modificar estas áreas depende de los privilegios del usuario, lo que significa que solo cuentas con permisos de administrador pueden alterar ciertos claves. Este proceso puede ser usado para crear persistencia (ej. mantener un malware activo) o evadir controles de seguridad (ej. ocultar procesos).
Actores que la Utilizan
Esta técnica es utilizada por múltiples actores adversarios, incluyendo grupos de ciberdelincuencia y organizaciones APT (Advanced Persistent Threats). Los atacantes suelen emplear esta metodología como parte de una estrategia más amplia para establecer control sobre un sistema o organizar operaciones de duración prolongada. Ejemplos incluyen la modificación de claves del Registro para inyectar código malicioso o alterar políticas de seguridad.
Detección
La detección de actividades relacionadas con "Modify Registry" implica monitorear cambios no autorizados en áreas críticas del Registro, como
HKEY_LOCAL_MACHINE o
HKEY_CURRENT_USER. Herramientas como el visor de eventos de Windows (Event Viewer) y sistemas SIEM pueden ayudar a identificar modificaciones sospechosas. También se recomienda revisar registros de actividad de usuarios con privilegios elevados y verificar la autenticidad de las solicitudes de modificación del Registro.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación
Para mitigar el riesgo asociado a la técnica "Modify Registry", se recomienda:
- Limitar el acceso al Registro a cuentas con permisos mínimos.
- Realizar auditorías periódicas del Registro para detectar cambios inusuales.
- Utilizar herramientas de monitoreo de seguridad que registren y alerten sobre modificaciones no autorizadas.
- Mantener actualizado el sistema operativo y aplicaciones para corregir vulnerabilidades que permitan alteraciones no deseadas.
- Evitar la modificación manual del Registro a menos que sea necesario para configuraciones específicas.