Mustang Panda utiliza un driver firmado para evadir detecciones y mantener persistencia en sistemas Windows

Mustang Panda, conocido grupo de amenazas vinculado a campañas de espionaje cibernético dirigidas principalmente al Sudeste Asiático, ha incrementado el nivel de sofisticación de sus ataques mediante la incorporación de un driver firmado legítimamente en su cadena de ataque. Esta técnica les permite evadir mecanismos de seguridad modernos y obtener un acceso privilegiado sobre sistemas Windows para llevar a cabo operaciones de recolección de información y espionaje prolongado.

Evasión avanzada mediante un driver con firma digital válida

El hallazgo más relevante detectado en la campaña es el uso de un controlador de kernel (driver) de Windows, firmado digitalmente y legítimo, que Mustang Panda emplea para ejecutar código malicioso con privilegios elevados. Este driver forma parte crucial de su kit de herramientas, ya que le da la capacidad de cargar y ejecutar componentes maliciosos desde el nivel más profundo del sistema operativo, el kernel, evitando así la mayoría de las soluciones antivirus y de detección basadas en usuarios o espacio de usuario común.

El uso de drivers firmados es especialmente peligroso porque Windows, por defecto, permite la carga de controladores firmados digitalmente confiables, lo que implica que el malware puede operar con mayor libre albedrío sin activar las alertas estándar de seguridad basadas en firmas o comportamientos anómalos convencionales.

Metodología y vectores de infección

Mustang Panda inicia el ataque generalmente a través de spear-phishing dirigido o campañas de spear-phishing con archivos adjuntos maliciosos. Una vez que logran comprometer una máquina, despliegan el driver firmado para asegurar la instalación de módulos con capacidad rootkit, reforzando así la persistencia del malware y evitando su detección mediante técnicas anti-forenses.

Entre las funcionalidades más destacadas del driver malicioso se encuentra la manipulación del espacio del kernel para ocultar procesos, conexiones de red y archivos, permitiendo a Mustang Panda mantener control remoto durante un tiempo prolongado sin ser detectado. Además, debido a que el driver está firmado, se aprovecha la confianza inherente del sistema operativo y evade mecanismos de control de integridad.

Implicaciones para la seguridad corporativa y ciberdefensa

Este caso ejemplifica la evolución constante de los atacantes que ahora explotan las vulnerabilidades del modelo tradicional de confianza en firmas digitales para extender la vida útil de las infecciones y aumentar el impacto de sus campañas. Para los equipos de seguridad, se vuelve fundamental implementar soluciones con detección basada en comportamiento y análisis de anomalías en kernel, no limitarse exclusivamente a listas blancas de firmas.

También se recomienda reforzar las políticas de whitelisting rigurosas, habilitar monitorización de actividades a nivel kernel y llevar a cabo auditorías frecuentes de los drivers instalados en sistemas críticos. La concienciación y entrenamiento continuo en detección de técnicas de ingeniería social usadas para propagar estas amenazas sigue siendo indispensable dado que la puerta inicial suele ser el phishing.

Conclusión

La sofisticación técnica demostrada por Mustang Panda con el uso de un driver firmado verdaderamente legitima la preocupación sobre la validez ciega del modelo de confianza en firmas digitales dentro de Windows. La correcta combinación de técnicas de seguridad basadas en múltiples capas y análisis avanzados será vital para mitigar el riesgo que representa este tipo de ataques dirigidos por actores altamente calificados.

Más información en: https://thehackernews.com/2025/12/mustang-panda-uses-signed-kernel-driver.html