Una nueva puerta trasera asociada con un descargador de malware llamado Enlace ha sido descubierto, con la herramienta probablemente utilizada por el notorio Grupo Lazarus alineado con Corea del Norte, revelan nuevos hallazgos.
La carga útil, denominada WinorDLL64 de ESET, es un implante con todas las funciones que puede filtrar, sobrescribir y eliminar archivos; ejecutar comandos de PowerShell; y obtener información completa sobre la máquina subyacente.
Sus otras características comprenden enumerar sesiones activas, crear y finalizar procesos, enumerar unidades y comprimir directorios.
Wslink fue documentado por primera vez por la firma de ciberseguridad eslovaca en octubre de 2021, describiéndolo como un cargador de malware “simple pero notable” que es capaz de ejecutar módulos recibidos en la memoria.
“La carga útil de Wslink se puede aprovechar más tarde para el movimiento lateral, debido a su interés específico en las sesiones de red”, investigador de ESET Vladislav Hrčka. dicho. “El cargador Wslink escucha en un puerto especificado en la configuración y puede servir a clientes de conexión adicionales e incluso cargar varias cargas útiles”.
Se dice que las intrusiones que aprovechan el malware están muy dirigidas debido al hecho de que hasta la fecha solo se han observado unas pocas detecciones en Europa Central, América del Norte y Oriente Medio.
En marzo de 2022, ESET explicó el uso que hace el malware de una “máquina virtual avanzada de varias capas”. ofuscador para evadir la detección y resistir la ingeniería inversa.
Los enlaces a Lazarus Group provienen de superposiciones en el comportamiento y el código con el de campañas anteriores: Operación GhostSecret y Tiro banco – que se han atribuido a la amenaza persistente avanzada.
Esto incluye similitudes con las muestras de GhostSecret detalladas por McAfee en 2018, que vienen con un “componente de instalación de implantes y recopilación de datos” que se ejecuta como un servicio, reflejando el mismo comportamiento de Wslink.
ESET dijo que carga útil se cargó en la base de datos de malware VirusTotal de Corea del Sur, donde se encuentran algunas de las víctimas, lo que agrega credibilidad a la participación de Lazarus.
Los hallazgos demuestran una vez más el vasto arsenal de herramientas de piratería empleadas por Lazarus Group para infiltrarse en sus objetivos.
“La carga útil de Wslink está dedicada a proporcionar medios para la manipulación de archivos, la ejecución de código adicional y la obtención de información extensa sobre el sistema subyacente que posiblemente se pueda aprovechar más tarde para el movimiento lateral”, dijo ESET.