Los actores de amenaza de Corea del Norte detrás de la contagiosa campaña de entrevistas se han observado entregando una colección de cepas de malware de Apple MacOS denominadas Ferret como parte de un supuesto proceso de entrevista de trabajo.
“Por lo general, se les pide a los objetivos que se comuniquen con un entrevistador a través de un enlace que arroja un mensaje de error y una solicitud para instalar o actualizar una pieza de software requerida como VCAM o CameraCcess para reuniones virtuales”, los investigadores de Sentinelone Phil Stokes y Tom Hegel dicho en un nuevo informe.
La entrevista contagiosa, descubierta por primera vez a fines de 2023, es un esfuerzo persistente realizado por el equipo de piratería para entregar malware a posibles objetivos a través de paquetes de NPM falsos y aplicaciones nativas disfrazadas de software de videoconferencia. También se rastrea como DeceptiveDevelozment y Dev#Popper.
Estas cadenas de ataque están diseñadas para lanzar un malware basado en JavaScript conocido como Beaverail, que, además de cosechar datos confidenciales de navegadores web y billeteras criptográficas, es capaz de entregar una puerta trasera de Python llamada InvisibleFerret.
En diciembre de 2024, la compañía japonesa de seguridad cibernética NTT Security Holdings reveló que el malware JavaScript también está configurado para obtener y ejecutar otro malware conocido como Ottercookie.
El descubrimiento de la familia de malware, descubierto por primera vez hacia fines de 2024, sugiere que los actores de amenaza están perfeccionando activamente sus tácticas para evadir la detección.
Esto incluye la adopción de un enfoque de estilo ClickFix para engañar a los usuarios para que copie y ejecute un comando malicioso en sus sistemas Apple MacOS a través de la aplicación Terminal para abordar un problema para acceder a la cámara y al micrófono a través del navegador web.
Según el investigador de seguridad Taylor Monahan, quien pasa por el nombre de usuario @tayvano_, los ataques originar con los atacantes acercándose a los objetivos en LinkedIn haciéndose pasar por reclutadores e instándolos a completar una evaluación de video. El objetivo final es dejar caer Backdoor y robador con sede en Golang Eso está diseñado para drenar la billetera Metamask de la víctima y ejecutar comandos en el host.
Algunos de los componentes asociados con el malware se han denominado FriendlyFerret y Frostyferret_UI. Sentinelone dijo que identificó otro conjunto de artefactos llamados FlexibleFerret que se encarga de establecer la persistencia en el sistema MacOS infectado mediante un lanzamiento de AGENT.
También está diseñado para descargar una carga útil no especificada de un servidor de comando y control (C2), que ya no responde.
Además, se ha observado que el malware del hurón se está propagado abriendo problemas falsos en repositorios legítimos de GitHub, una vez más señalando una diversificación de sus métodos de ataque.
“Esto sugiere que los actores de amenaza están felices de expandir los vectores por los cuales entregan el malware más allá de la orientación específica de los solicitantes de empleo a los desarrolladores en general”, dijeron los investigadores.
La divulgación se produce días después de que la firma de seguridad de la cadena de suministro Socket detalló un paquete NPM malicioso llamado PostCSS-Optimizer que contiene el malware Beavertail. La biblioteca permanece disponible Para descargar desde el registro NPM a partir de la escritura.
“Al hacerse pasar por la Biblioteca PostCSS legítima, que tiene más de 16 mil millones de descargas, el actor de amenazas tiene como objetivo infectar los sistemas de desarrolladores con capacidades de robo de credenciales y excitación de datos en Windows, MacOS y Sistemas de Linux”, los investigadores de seguridad Kirill Boychenko y Peter van Van Van Van Van Van Der Zee dicho.
El desarrollo también sigue el descubrimiento de una nueva campaña montada por el actor de amenaza APT37 (también conocido como escorruft) alineado en Corea del Norte (también conocido como escorruft) que implicaba distribuir documentos atrapados en tope a través de campañas de phishing de lanza para desplegar el malware Rokrat, así como propagarlos a otros objetivos sobre los chats grupales a través de K K K Plataforma Messenger desde la computadora del usuario comprometido.
About the Author
