Los actores de amenazas norcoreanos han explotado las fallas de seguridad recientemente reveladas en ConnectWise ScreenConnect para implementar un nuevo malware llamado TIBUR\u00d3N PEQUE\u00d1O<\/strong>.<\/p>\n Seg\u00fan un informe compartido por Kroll con The Hacker News, TODDLERSHARK se superpone con el conocido malware Kimsuky, como BabyShark y ReconShark.<\/p>\n “El actor de amenazas obtuvo acceso a la estaci\u00f3n de trabajo de la v\u00edctima explotando el asistente de configuraci\u00f3n expuesto de la aplicaci\u00f3n ScreenConnect”, dijeron los investigadores de seguridad Keith Wojcieszek, George Glass y Dave Truman.<\/p>\n “Luego aprovecharon su acceso ahora ‘manos a la obra’ para usar cmd.exe para ejecutar mshta.exe con una URL al malware basado en Visual Basic (VB)”.<\/p>\n Las fallas de ConnectWise en cuesti\u00f3n son CVE-2024-1708 y CVE-2024-1709, que salieron a la luz el mes pasado y desde entonces han sido fuertemente explotadas por m\u00faltiples actores de amenazas para entregar mineros de criptomonedas, ransomware, troyanos de acceso remoto y malware ladr\u00f3n.<\/p>\n Kimsuky, tambi\u00e9n conocido como APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (anteriormente Thallium), KTA082, Nickel Kimball y Velvet Chollima, ha ampliado constantemente su arsenal de malware para incluir nuevas herramientas, siendo las m\u00e1s recientes GoBear y Troll Stealer.<\/p>\n tibur\u00f3n beb\u00e9, descubierto por primera vez<\/a> a finales de 2018, se lanza utilizando un archivo de aplicaci\u00f3n HTML (HTA). Una vez iniciado, el malware VB script filtra informaci\u00f3n del sistema a un servidor de comando y control (C2), mantiene la persistencia en el sistema y espera m\u00e1s instrucciones del operador.<\/p>\n Luego, en mayo de 2023, se observ\u00f3 que una variante de BabyShark denominada ReconShark se entregaba a personas espec\u00edficas a trav\u00e9s de correos electr\u00f3nicos de phishing. Se considera que TODDLERSHARK es la \u00faltima evoluci\u00f3n del mismo malware debido a similitudes de c\u00f3digo y comportamiento.<\/p>\n El malware, adem\u00e1s de utilizar una tarea programada para la persistencia, est\u00e1 dise\u00f1ado para capturar y filtrar informaci\u00f3n confidencial sobre los hosts comprometidos, actuando as\u00ed como una valiosa herramienta de reconocimiento.<\/p>\n TODDLERSHARK “exhibe elementos de comportamiento polim\u00f3rfico en forma de cambios de cadenas de identidad en el c\u00f3digo, cambio de la posici\u00f3n del c\u00f3digo a trav\u00e9s de c\u00f3digo basura generado y uso de URL C2 generadas de forma \u00fanica, lo que podr\u00eda hacer que este malware sea dif\u00edcil de detectar en algunos entornos”, dijeron los investigadores. .<\/p>\n El desarrollo se produce cuando el Servicio de Inteligencia Nacional (NIS) de Corea del Sur acus\u00f3 a su hom\u00f3logo del norte de supuestamente comprometer los servidores de dos fabricantes de semiconductores nacionales (y no identificados) y de robar datos valiosos.<\/p>\n Las intrusiones digitales tuvieron lugar en diciembre de 2023 y febrero de 2024. Se dice que los actores de amenazas se dirigieron a servidores vulnerables y expuestos a Internet para obtener acceso inicial, y posteriormente aprovecharon t\u00e9cnicas de vida de la tierra (LotL) en lugar de lanzar malware para para evadir mejor la detecci\u00f3n.<\/p>\n “Es posible que Corea del Norte haya comenzado los preparativos para su propia producci\u00f3n de semiconductores debido a las dificultades para adquirir semiconductores debido a las sanciones contra Corea del Norte y al aumento de la demanda debido al desarrollo de armas como los misiles satelitales”, NIS dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/03\/Los-piratas-informaticos-aprovechan-las-fallas-de-ConnectWise-ScreenConnect-para.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n