Secuestro COM.

Técnica de persistencia que redirige la búsqueda de un CLSID del Component Object Model de Windows hacia código del atacante, ejecutándolo cuando un proceso instancia ese objeto. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Técnica de persistencia que redirige la búsqueda de un CLSID del Component Object Model de Windows hacia código del atacante, ejecutándolo cuando un proceso instancia ese objeto.

El COM hijacking (MITRE ATT&CK T1546.015) abusa del sistema de registro del Component Object Model de Windows. Cada objeto COM se identifica por un CLSID en HKLM o HKCU; la rama por usuario HKCU\Software\Classes\CLSID se consulta antes que HKLM, por lo que un usuario normal puede registrar un InProcServer32 malicioso para un CLSID muy utilizado y conseguir que Explorer, Office o tareas programadas carguen su DLL o scriptlet. Como el disparador es una llamada API legítima (CoCreateInstance), la técnica es sigilosa y sobrevive a reinicios. La detección se centra en nuevas entradas CLSID en HKCU, DLL sin firmar en rutas de usuario y procesos hijos anómalos de explorer.exe; las defensas incluyen AppLocker/WDAC, monitorización de registro con Sysmon y quitar permisos de escritura en claves sensibles.

Las defensas contra Secuestro COM combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Secuestro de Component Object Model, Secuestro de CLSID.