El notorio actor de amenazas vinculado a Corea del Norte conocido como Grupo L\u00e1zaro<\/strong> se ha atribuido a una nueva campa\u00f1a global que implica la explotaci\u00f3n oportunista de fallas de seguridad en Log4j para implementar troyanos de acceso remoto (RAT) previamente no documentados en hosts comprometidos.<\/p>\n Cisco Talos est\u00e1 rastreando la actividad bajo el nombre Operation Blacksmith, observando el uso de tres familias de malware basadas en DLang, incluida una RAT llamada NineRAT que aprovecha Telegram para comando y control (C2), DLRAT y un descargador denominado BottomLoader.<\/p>\n La firma de ciberseguridad describi\u00f3 las \u00faltimas t\u00e1cticas del adversario como un cambio definitivo y que se superponen con el grupo ampliamente rastreado como Andariel (tambi\u00e9n conocido como Onyx Sleet o Silent Chollima), un subgrupo dentro del paraguas de Lazarus.<\/p>\n “A Andariel normalmente se le asigna la tarea de acceso inicial, reconocimiento y establecimiento de acceso a largo plazo para espionaje en apoyo de los intereses nacionales del gobierno de Corea del Norte”, dijeron en un informe t\u00e9cnico los investigadores de Talos Jung soo An, Asheer Malhotra y Vitor Ventura. informe<\/a> compartido con The Hacker News.<\/p>\n Las cadenas de ataques implican la explotaci\u00f3n de CVE-2021-44228 (tambi\u00e9n conocido como Log4Shell) contra servidores VMWare Horizon de acceso p\u00fablico para entregar NineRAT. Algunos de los sectores destacados a los que se dirigen incluyen la manufactura, la agricultura y la seguridad f\u00edsica.<\/p>\n Descifrando el c\u00f3digo: aprenda c\u00f3mo los ciberatacantes explotan la psicolog\u00eda humana<\/p>\n <\/a> <\/p>\n \u00bfAlguna vez te has preguntado por qu\u00e9 la ingenier\u00eda social es tan eficaz? Profundice en la psicolog\u00eda de los ciberatacantes en nuestro pr\u00f3ximo seminario web.<\/p>\n \u00danete ahora<\/a> <\/section>\n El abuso de Log4Shell no es sorprendente dado el hecho de que el 2,8 por ciento de las aplicaciones todav\u00eda utilizan versiones vulnerables de la biblioteca (desde 2.0-beta9 hasta 2.15.0) despu\u00e9s de dos a\u00f1os de divulgaci\u00f3n p\u00fablica, seg\u00fan Veracode<\/a>y otro 3,8% utiliza Log4j 2.17.0, que, si bien no es vulnerable a CVE-2021-44228, es susceptible a CVE-2021-44832.<\/p>\n Se dice que NineRAT, desarrollado por primera vez alrededor de mayo de 2022, se utiliz\u00f3 ya en marzo de 2023 en un ataque dirigido a una organizaci\u00f3n agr\u00edcola sudamericana y luego nuevamente en septiembre de 2023 a una entidad manufacturera europea. Al utilizar un servicio de mensajer\u00eda leg\u00edtimo para las comunicaciones C2, el objetivo es evadir la detecci\u00f3n.<\/p>\n El malware act\u00faa como el principal medio de interacci\u00f3n con el punto final infectado, permitiendo a los atacantes enviar comandos para recopilar informaci\u00f3n del sistema, cargar archivos de inter\u00e9s, descargar archivos adicionales e incluso desinstalarlo y actualizarlo.<\/p>\n “Una vez que se activa NineRAT, acepta comandos preliminares del canal C2 basado en telegramas para volver a tomar huellas dactilares de los sistemas infectados”, se\u00f1alaron los investigadores.<\/p>\n “La nueva toma de huellas dactilares de los sistemas infectados indica que los datos recopilados por Lazarus a trav\u00e9s de NineRAT pueden ser compartidos por otros grupos APT y esencialmente residen en un repositorio diferente de los datos de huellas dactilares recopilados inicialmente por Lazarus durante su acceso inicial y fase de implementaci\u00f3n del implante”.<\/p>\n Tambi\u00e9n se utiliza en los ataques despu\u00e9s del reconocimiento inicial una herramienta proxy personalizada llamada HazyLoad que Microsoft identific\u00f3 previamente como utilizada por el actor de amenazas como parte de intrusiones que arman fallas de seguridad cr\u00edticas en JetBrains TeamCity (CVE-2023-42793<\/a>, puntuaci\u00f3n CVSS: 9,8). HazyLoad se descarga y ejecuta mediante otro malware llamado BottomLoader.<\/p>\n Adem\u00e1s, se ha observado que Operation Blacksmith entrega DLRAT, que es a la vez un descargador y un RAT equipado para realizar reconocimiento del sistema, implementar malware adicional y recuperar comandos del C2 y ejecutarlos en los sistemas comprometidos.<\/p>\n “Las m\u00faltiples herramientas que brindan acceso por puertas traseras superpuestas presentan a Lazarus Group redundancias en caso de que se descubra una herramienta, lo que permite un acceso altamente persistente”, dijeron los investigadores.<\/p>\n La divulgaci\u00f3n se produce cuando el Centro de Respuesta a Emergencias de Seguridad de AhnLab (ASEC) detall\u00f3 el uso por parte de Kimsuky de versiones de malware AutoIt como Amadey y RftRAT y su distribuci\u00f3n a trav\u00e9s de ataques de phishing con archivos adjuntos y enlaces con trampas explosivas en un intento de eludir los productos de seguridad.<\/p>\n Kimusky, tambi\u00e9n conocido con los nombres APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (anteriormente Thallium), Nickel Kimball y Velvet Chollima, es un elemento que opera bajo la Oficina General de Reconocimiento (RGB) de Corea del Norte, que tambi\u00e9n alberga al Grupo Lazarus.<\/p>\n Fue sancionado por el Departamento del Tesoro de Estados Unidos el 30 de noviembre de 2023 por recopilar inteligencia para apoyar los objetivos estrat\u00e9gicos del r\u00e9gimen.<\/p>\n “Despu\u00e9s de tomar el control del sistema infectado, para extraer informaci\u00f3n, el grupo Kimsuky instala varios programas maliciosos, como registradores de pulsaciones de teclas y herramientas para extraer cuentas y cookies de los navegadores web”, afirma ASEC dicho<\/a> en un an\u00e1lisis publicado la semana pasada.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/Lazarus-Group-utiliza-exploits-Log4j-para-implementar-troyanos-de-acceso.jpg\")
<\/a><\/div>\n<\/a><\/center><\/div>\n