Operación ShadowWiper: Malware Avanzado Elimina Copias de Seguridad en Chile

"ShadowWiper" es una amenaza persistente avanzada (APT) recientemente detectada, especializada en eliminar copias de seguridad (shadow copies) mediante técnicas avanzadas de administración de Windows (WMI) y comandos PowerShell. Su capacidad para detectar entornos virtualizados y de análisis forense la hace particularmente efectiva contra organizaciones empresariales, aumentando así la dificultad en la detección y respuesta temprana.

Las copias de sombra (Shadow Copies) en entornos Windows son copias instantáneas de archivos o volúmenes en un momento específico. Su función principal es permitir la recuperación rápida de datos, archivos eliminados accidentalmente o modificaciones no deseadas, actuando como un mecanismo de respaldo ante incidentes como ataques ransomware, corrupción de archivos o errores humanos.

En el ámbito empresarial, estas copias son especialmente relevantes porque constituyen una línea de defensa clave para garantizar la continuidad operativa y la rápida restauración tras incidentes de seguridad. Al eliminar estas copias, amenazas como ShadowWiper reducen significativamente la capacidad de una organización para responder y recuperarse rápidamente, aumentando la severidad y duración de los incidentes.

 

Uso de PowerShell y WMI en ciberataques

PowerShell es una herramienta potente, legítima y versátil que permite administrar sistemas Windows mediante comandos y scripts. Para los atacantes, PowerShell resulta atractivo debido a su ubicuidad en sistemas Windows, facilidad para automatizar procesos, y capacidad para ejecutar comandos complejos y operaciones de red de forma silenciosa. Esto facilita la evasión de soluciones antivirus tradicionales y complica la detección.

 

Procesos y comportamientos maliciosos

• WMI para eliminación de copias de seguridad: Usa comandos como Get-WmiObject Win32_ShadowCopy | Remove-WmiObject, eliminando copias críticas que permiten la recuperación de datos.
• Detección de entornos de depuración y virtualización: El malware detecta entornos virtuales mediante rutinas específicas ("detect-debug-environment") y técnicas de "long sleeps" para evadir análisis.
• Propagación lateral usando WMI: El malware utiliza WmiPrvSE para ejecutar scripts PowerShell, facilitando el movimiento lateral y control de múltiples sistemas comprometidos.
• Ejecución no interactiva de PowerShell: Ejecución encubierta de scripts maliciosos sin interacción del usuario, dificultando su detección temprana.
• Carga sospechosa de DLL: Carga DLLs legítimas en procesos no comunes (DLL Sideloading), lo que permite evadir soluciones antivirus tradicionales.

 

TTPs según MITRE ATT&CK

Dada la sofisticación y capacidad evasiva de ShadowWiper, se prevé que en Chile los sectores más vulnerables sean la banca, servicios financieros y administración pública. Las técnicas avanzadas de eliminación de copias de seguridad podrían dirigirse especialmente a organizaciones dependientes de alta disponibilidad de datos. El vector de infección predominante sería phishing dirigido con adjuntos ejecutables aparentemente legítimos.

 

Impacto Operacional

Este malware compromete irreversiblemente la capacidad de recuperación de datos al eliminar copias de sombra, combinado con capacidades de propagación lateral mediante WMI. En entornos chilenos con sistemas heredados, podría causar tiempos de inactividad prolongados (8+ horas) y pérdida de datos operacionales críticos, particularmente en sectores con backups no verificados.

 

Indicadores de Compromiso (IoCs)

Recomendaciones de Mitigación