Se ha observado que el grupo de piratería de estado nación de Corea del Norte conocido como Kimsuky realiza ataques de phishing de lanza para entregar un malware de robo de información llamado Forecopy, según Nuevos hallazgos del Centro de Inteligencia de Seguridad AhnLab (ASEC).
Los ataques comienzan con correos electrónicos de phishing que contienen un archivo de acceso directo de Windows (LNK) que está disfrazado de un documento de Microsoft Office o PDF.
La apertura de este archivo adjunto desencadena la ejecución de PowerShell o mshta.exe, un binario de Microsoft legítimo diseñado para ejecutar archivos de aplicación HTML (HTA), que son responsables de descargar y ejecutar cargas útiles de próxima etapa desde una fuente externa.
La compañía de ciberseguridad de Corea del Sur dijo que los ataques culminaron en el despliegue de un troyano conocido doblado Pebbledash y una versión personalizada de una utilidad de escritorio remota de código abierto nombrada Envoltura de RDP.
También se entrega como parte de los ataques un malware proxy que permite a los actores de amenaza establecer comunicaciones persistentes con una red externa a través de RDP.
Además, se ha observado a Kimsuky utilizando un Keylogger basado en PowerShell para grabar teclas de teclas y una nueva ForCecopy con nombre en código de Malware que se usa para copiar archivos almacenados en directorios relacionados con el navegador web.
“Todas las rutas donde está instalada el malware son rutas de instalación del navegador web”, dijo ASEC. “Se supone que el actor de amenaza está intentando evitar las restricciones en un entorno específico y robar los archivos de configuración de los navegadores web donde se almacenan las credenciales”.
El uso de herramientas RDP Wrapper y proxies a Commandoer Infected Hosts apunta al cambio táctico para Kimsuky, que históricamente ha aprovechado las puertas traseras a medida para este propósito.
El actor de amenaza, también conocido como APT43, Black Banshee, Emerald Shing, Sparkling Piscis, SpringTail, TA427 y Velvet Chollima, se evalúa que está afiliado a la Bueca General de Reconnaissance (RGB), el Servicio de Inteligencia Extrande de Corea del Norte.
Activo desde al menos 2012, Kimusky tiene un historial de orquestar ataques de ingeniería social a medida que son capaces de evitar las protecciones de seguridad por correo electrónico. En diciembre de 2024, la compañía de seguridad cibernética Genians reveló que el equipo de piratería ha estado enviando mensajes de phishing que se originan en los servicios rusos para llevar al robo de credenciales.
About the Author
