Jitter y patrones de sueño (Sleep masks) para eludir detección estadística

Abre jitter_y_sleep_masks.txt en la consola del laboratorio con el entorno rt-c2-maleable-guia.

Revisa la sección 1. Los sensores de monitoreo de red (Zeek, RITA) utilizan algoritmos de análisis espectral y transformada de Fourier para calcular la regularidad de las conexiones hacia destinos externos. Si un host envía un paquete exactamente cada minuto, la correlación temporal es casi perfecta (1.0). El parámetro jitter añade variabilidad estocástica a cada ciclo.

Examina la sección 2 en jitter_y_sleep_masks.txt.

Los agentes EDR contemporáneos ejecutan escaneos de memoria en vivo a intervalos regulares o ante la creación de nuevos hilos. Para evitar que las firmas YARA del malware sean detectadas mientras la baliza está inactiva esperando el próximo contacto, la técnica de Sleep Mask cifra la sección de memoria y despoja los permisos de ejecución del bloque.

Los cazadores de amenazas analizan los hilos de ejecución que se encuentran en estado de suspensión (Sleep).

Si la dirección de retorno de la función de sueño apunta a una región de memoria privada no respaldada por ningún archivo binario legítimo en el disco (código inyectado o reflectivo), el sensor EDR clasifica el hilo como anómalo. Las técnicas avanzadas de spoofing de pila y desensamblado dinámico permiten enmascarar el rastro del hilo durante su fase de reposo.