Archivos de acceso directo (LNK) y llamadas legítimas

Abre contenedores_y_formatos.txt en la consola del laboratorio con el entorno rt-acceso-entrega-guia.

Revisa la tipología número 2. En lugar de transportar un ejecutable compilado voluminoso, el archivo de acceso directo se aprovecha de las herramientas nativas preinstaladas en el sistema operativo del objetivo (Living off the Land) para iniciar la descarga y ejecución de la carga en memoria.

El explorador de Windows oculta por defecto la extensión .lnk de los accesos directos, incluso si el usuario tiene marcada la opción de mostrar extensiones de archivo conocidas.

Al configurar la propiedad de icono del acceso directo para que apunte a shell32.dll o a un recurso gráfico de Adobe Acrobat o Microsoft Excel, el archivo adquiere la apariencia visual exacta de un documento ofimático inofensivo.

En la propiedad de destino del acceso directo, el operador configura comandos que ejecutan utilidades del sistema como mshta.exe, powershell.exe o rundll32.exe.

Para evitar que los argumentos sospechosos sean visibles si el usuario abre las propiedades del archivo, se insertan cientos de espacios en blanco al inicio del comando o se leen las instrucciones secundarias desde un archivo oculto dentro del mismo contenedor.