Archivos exóticos: los orígenes inesperados de las ciberamenazas

Los actores de amenazas desarrollan constantemente nuevas estrategias de ataque (desde el robo de tokens OAuth hasta los ataques a agentes de IA), pero los métodos clásicos nunca desaparecen del todo de su repertorio. En cualquier momento, un empleado puede recibir malware adjunto directamente a un correo electrónico u oculto tras un enlace incluido en un mensaje. Para que estos ataques tengan éxito sigue siendo necesario un cierto grado de creatividad y, en los últimos años, los atacantes han recurrido cada vez más a formatos de archivos exóticos. Los usuarios no perciben estos formatos como peligrosos; y lo que es aún más importante, muchas soluciones de EDR y de seguridad de correo electrónico ni siquiera los analizan. Sin embargo, han demostrado ser muy eficaces para implementar malware o recolectar credenciales.

A continuación, se enumeran los tipos de archivos que pueden ser puntos ciegos en la estrategia de detección de tu organización, a pesar de que se ha observado su uso en ataques reales.

Imágenes de disco

Esta es la categoría de archivos adjuntos más amplia y peligrosa. Una imagen de disco puede contener un conjunto de archivos totalmente preparado y correctamente estructurado, adaptado a una amplia variedad de situaciones de ataque. Se monta como un volumen independiente (disco virtual autónomo) y, al hacerlo, suele utilizar herramientas integradas en el sistema operativo. La víctima no necesita extraer nada ni crear carpetas sospechosas en el disco.

El formato más versátil es el ISO, que se remonta al auge de los CD multimedia. Las imágenes ISO se montan de forma nativa en todos los principales sistemas operativos sin necesidad de utilidades adicionales, ya sea mediante herramientas sencillas como el Explorador de archivos o a través de la interfaz de línea de comandos. Precisamente por eso, los actores de amenazas no dudan en enviar archivos ISO como archivos adjuntos en los correos electrónicos.

Un poco menos habituales son los contenedores IMG, que también se montan sin herramientas adicionales en macOS o Linux, pero que requieren instalar una pequeña utilidad gratuita como OSFMount en Windows, o utilizar WSL2 (Subsistema de Windows para Linux), que viene integrado en las versiones recientes de Windows. Un archivo con el mismo contenido también puede tener la extensión DD.

Los actores de amenazas también utilizan VHD, un formato de disco virtual nativo de Windows, que por lo general también funciona en equipos con Linux (a través de qemu-nbd o guestmount). En macOS, se necesita una utilidad adicional (de nuevo, qemu-nbd es una opción habitual) para montarlo. Ten en cuenta que, en los sistemas Windows sin parches, la víctima no necesita realizar ninguna acción adicional después del montaje del disco: CVE-2025-24993 (una vulnerabilidad que se aprovecha activamente en ataques reales) activa la ejecución del código del atacante de inmediato tras el montaje de la imagen.

Para completar la información, también merece la pena detectar el formato VMDK, el formato de imagen de disco utilizado por VMware, aunque resulta en gran medida ineficaz en los ataques contra usuarios habituales, ya que todos los sistemas operativos populares requieren software adicional para montarlo.

Todos estos formatos de imagen se pueden visualizar y descomprimir no solo con herramientas especializadas, sino también con utilidades de archivo comprimido estándar como 7-Zip o RAR. Como resultado, las probabilidades de que el usuario muerda el anzuelo son mayores de lo que se podría esperar.

Además de no ser un formato potencialmente peligroso muy conocido, los archivos de imagen les ofrecen a los atacantes una ventaja adicional: los archivos extraídos de imágenes de disco en Windows suelen carecer del indicador “Mark of the Web” y, por lo tanto, pueden ejecutarse sin activar advertencias adicionales del sistema.

Hay otro motivo por el que las soluciones EPP/EDR deben analizar las máquinas virtuales y las imágenes de disco: estos formatos también se utilizan en las fases posteriores de un ataque. Para ocultar la actividad del sistema de archivos a las herramientas de supervisión, las bandas de ransomware a veces ejecutan todo el proceso de cifrado dentro de una máquina virtual implementada en el ordenador de la víctima. La variante de ransomware RagnarLocker ha utilizado VirtualBox para este fin, mientras que la campaña CRON#TRAP se basó en un entorno de QEMU.

Archivos de MS Office

No, no se trata de archivos DOC con macros. Microsoft se ha cansado tanto de este clásico vector de ataque que ahora las macros de los documentos descargados se bloquean directamente, y activarlas exige un esfuerzo considerable por parte del usuario. Pero Office utiliza docenas de formatos de archivos, y algunos de los menos comunes siguen ofreciendo ocasionalmente una ventaja a los atacantes.

Los archivos de OneNote (.one) son menos conocidos tanto para los usuarios como para las soluciones de seguridad. Se trata, en esencia, de notas sencillas, pero pueden contener archivos adjuntos incrustados, entre los que no solo se incluyen imágenes y enlaces, sino también scripts VBS/WSF/BAT. Dentro de la nota, un archivo adjunto suele aparecer como un icono, pero los atacantes lo superponen con una imagen que muestra un mensaje con el botón “Ver”.

Otro formato de Office muy utilizado por los atacantes es el complemento de Excel. Estos archivos utilizan la extensión .xll, pero son, en realidad, bibliotecas de enlace dinámico (DLL) de Windows completamente desarrolladas y, por lo tanto, pueden tener una función amplia. Las víctimas reciben un correo electrónico malicioso con lo que aparenta ser una factura; el icono sugiere que el archivo se abrirá en Excel. Si se ignora la advertencia de seguridad, es posible que se provoque una infección por infostealer.

“Gráficos” SVG

La descripción del formato SVG (gráficos vectoriales escalables) parece totalmente inofensiva. De hecho, el 99 % de los archivos SVG son logotipos e iconos de interfaz. Pero, a diferencia de los formatos PNG o JPG, los archivos SVG son, básicamente, documentos XML y, además de puntos, líneas y rellenos, pueden contener código JavaScript. En cuanto a su potencial malicioso, el formato SVG no se queda muy atrás respecto a una página web completa. En los ataques reales, los archivos SVG pueden redirigir a un usuario a una página de phishing nada más abrirse, o bien mostrar directamente dicha página al descomprimir un bloque codificado en Base64 en código HTML completo.

Los archivos SVG suponen un riesgo específico para los portales corporativos que permiten a los usuarios cargar archivos. Si la Directiva de Seguridad de Contenidos (Content Security Policy, CSP) de un portal no es lo suficientemente restrictiva y permite que alguien cargue un archivo SVG malicioso, el código JavaScript incrustado puede robar archivos cookie de la página, inyectar contenido no autorizado y llevar a cabo ataques similares.

Archivos políglotas

Los formatos de archivos políglotas no son en sí mismos nada del otro mundo, pero estos archivos esconden más de lo que parece a simple vista. Se denominan políglotas porque los atacantes crean un archivo que puede interpretarse de forma válida de varias maneras: por ejemplo, puede ser un archivo comprimido ZIP válido y un archivo ejecutable válido al mismo tiempo. El objetivo es, exclusivamente, eludir la detección por parte de las soluciones de seguridad y engañar al usuario. Hemos tratado el tema de los archivos políglotas en detalle en otra publicación del blog.

Lo que más destaca en nuestro resumen es una campaña maliciosa que distribuye el infostealer IcedID. Las víctimas reciben correos electrónicos con un archivo adjunto ZIP, que, al descomprimirse, muestra una imagen de disco ISO. Esta, a su vez, se descomprime en un archivo CHM (el formato de Ayuda de Windows) que también se procesa correctamente como una aplicación mshta (Microsoft HTML Application Host), la cual, a continuación, descarga la carga útil principal del malware.

Cómo defenderte contra los archivos exóticos

Estos ataques se basan en la suposición de que las soluciones de seguridad o no analizan los formatos de archivo poco habituales o lo hacen solo de forma superficial. Para prevenir la amenaza, lo primero que hay que hacer es no partir de esa suposición con respecto a tu propia infraestructura:

• Configura los filtros de EDR, de la web y del correo electrónico para que analicen todos los formatos de archivo descritos anteriormente.
• Procesa los archivos comprimidos y las imágenes de disco con el mismo rigor que aplicarías a los archivos ejecutables.
• Ejecuta los tipos de archivo potencialmente peligrosos en un entorno aislado y configura la descompresión recursiva de formatos anidados hasta el final de la cadena: ZIP → ISO → CHM.
• Siempre que sea posible, pon en cuarentena todos los formatos de archivos que resulten anómalos para el correo electrónico, en particular las imágenes de disco.
• Crea reglas de detección para los patrones de uso anómalo que impliquen archivos exóticos. Por ejemplo, las imágenes de disco inusualmente pequeñas son poco frecuentes y, por lo tanto, merece la pena investigarlas.
• Revisa la documentación técnica de tus soluciones de seguridad para confirmar que los formatos complejos se detectan mediante un análisis estructural profundo y no solo mediante comprobaciones de bytes mágicos.
• Implementa un sistema de detección de comportamiento capaz de señalar los patrones de ejecución anómalos y las utilidades legítimas ejecutadas desde contextos inesperados. Entre los sospechosos habituales se encuentran mshta, git, wscript, hh y rundll32.
• Los archivos SVG requieren una política específica. Trata los archivos SVG como contenido activo en el perímetro del correo electrónico y la web. En los portales corporativos, aplica una política CSP estricta y sirve los archivos subidos por los usuarios desde un subdominio independiente, de modo que un script malicioso incrustado en un archivo SVG no pueda acceder a la sesión del portal principal.