Los EDR modernos no fallan porque no tengan datos. Fallan porque tienen demasiados datos “correctos”.
Todo lo que hacen hoy —llamadas a API, cadenas de eventos, correlación de procesos, telemetría de usuario, contexto de máquina— ya no describe intención. Describe comportamiento. Y el problema es que el comportamiento, bien construido, puede ser indistinguible de lo legítimo.
Project Onyx nace precisamente de esa incomodidad.
El pipeline no empieza con ejecución ofensiva directa, sino con lo que internamente denominamos un AI Decoy (Behavioral Camouflage layer). Antes de cualquier lógica sensible, el host inicializa un modelo ONNX completamente funcional —un pequeño MLP ejecutado vía Microsoft ONNX Runtime— y fuerza una fase de inferencia tensorial real.
Esto no es simulación ni ruido sintético. Es carga legítima de machine learning: forward passes reales, uso de runtime optimizado, y patrones de ejecución indistinguibles de cualquier workload moderno de IA.
Desde la perspectiva de un EDR, esto introduce una firma conductual extremadamente problemática: el proceso ya está generando telemetría válida de “aplicación legítima”. Llamadas a librerías de inferencia, uso de CPU coherente, y flujos de ejecución que encajan perfectamente dentro de perfiles de software contemporáneo. La intención real queda encapsulada dentro de una capa que, por diseño, maximiza su plausibilidad.
Una vez establecido este baseline de comportamiento, el sistema transiciona a la siguiente capa: Environmental Keying.
Aquí, el payload deja de ser portable. La ejecución depende estrictamente del entorno de origen. Las claves de descifrado no existen como constantes, sino que se derivan dinámicamente a partir de un hash SHA-256 compuesto por tres identificadores del sistema: MachineGuid del sistema operativo, Volume Serial Number y SID del usuario actual.
Estos elementos se combinan para producir una identidad criptográfica del host. El resultado es que cualquier intento de análisis fuera del sistema objetivo —ya sea sandbox o entorno de reversing— colapsa en una versión inerte del payload. Sin el fingerprint exacto, el flujo simplemente no converge en estado válido. Esto convierte el binario en algo más cercano a una función del entorno que a un artefacto estático.
La siguiente transición arquitectónica ocurre en la capa de ejecución. En lugar de mantener lógica ofensiva en el binario nativo, Project Onyx delega la ejecución del payload a un entorno WebAssembly (WASM), ejecutado en memoria mediante el intérprete wasm3.
El host en C++ deja de ser el ejecutor directo y pasa a actuar como loader y API bridge. Su función es estrictamente controlada: exponer un conjunto limitado de funciones seguras hacia el sandbox WASM, mientras el payload vive completamente aislado dentro del runtime.
Esto introduce una separación relevante desde el punto de vista de análisis dinámico: el flujo crítico deja de residir en el espacio nativo observable del proceso principal y se desplaza a una capa intermedia, donde la instrumentación tradicional del endpoint pierde granularidad directa.
El módulo WASM no está almacenado en claro. Está cifrado con AES-256, pero la clave no reside en el binario. En su lugar, se encuentra encapsulada dentro de los metadatos de un modelo ONNX —el mismo utilizado en la capa de decoy.
La derivación de esta clave no es trivial: se construye mediante un pipeline que combina PBKDF2-HMAC-SHA256 y HKDF-SHA256, con validación adicional mediante HMAC en tiempo constante para evitar condiciones de timing leakage durante la verificación.
El resultado es una cadena de dependencias donde el modelo ONNX no solo genera telemetría conductual, también actúa como contenedor de material criptográfico y el entorno del sistema es el único elemento que permite resolver el estado final válido.
Cuando se observa el sistema en su conjunto, lo que emerge no es una técnica aislada de evasión, sino una composición de capas diseñadas para colapsar el modelo de análisis tradicional:
- comportamiento legítimo (AI Decoy)
- identidad del host como clave (Environmental Keying)
- ejecución aislada y fragmentada (WASM sandboxing)
- y dependencia criptográfica distribuida (Cryptographic Vault)
El resultado es un flujo donde ningún componente individual es anómalo por sí mismo, pero cuya intención global solo es observable si se reconstruye la cadena completa de dependencias.
Y ahí es donde Project Onyx se vuelve interesante desde la perspectiva de detección moderna: no está atacando un EDR directamente.
Está cuestionando si el modelo de observación actual todavía es capaz de distinguir intención cuando cada fragmento del sistema es indistinguible de comportamiento legítimo.
Proyecto: https://github.com/X-3306/Project-Onyx
Comentarios
Publicar un comentario