Los actores de amenazas vinculados a Corea del Norte han representado un tercio de toda la actividad de phishing dirigida a Brasil desde 2020, ya que el surgimiento del pa\u00eds como una potencia influyente ha llamado la atenci\u00f3n de los grupos de ciberespionaje.<\/p>\n
“Los actores respaldados por el gobierno de Corea del Norte han atacado al gobierno brasile\u00f1o y a los sectores aeroespacial, tecnol\u00f3gico y de servicios financieros de Brasil”, dijeron las divisiones Mandiant y Threat Analysis Group (TAG) de Google. dicho<\/a> en un informe conjunto publicado esta semana.<\/p>\n “Al igual que sus intereses en otras regiones, las empresas de criptomonedas y tecnolog\u00eda financiera han sido un foco particular, y al menos tres grupos norcoreanos han apuntado a empresas brasile\u00f1as de criptomonedas y tecnolog\u00eda financiera”.<\/p>\n Entre esos grupos se destaca un actor de amenazas identificado como UNC4899 (tambi\u00e9n conocido como Jade Sleet, PUKCHONG y TraderTraitor), que se ha dirigido a los profesionales de las criptomonedas con una aplicaci\u00f3n Python troyanizada con malware.<\/p>\n Las cadenas de ataque implican llegar a objetivos potenciales a trav\u00e9s de las redes sociales y enviar un documento PDF benigno que contiene una descripci\u00f3n del trabajo para una supuesta oportunidad laboral en una conocida empresa de criptomonedas.<\/p>\n Si el objetivo expresa inter\u00e9s en la oferta de trabajo, el actor de la amenaza le da seguimiento enviando un segundo documento PDF inofensivo con un cuestionario de habilidades e instrucciones para completar una tarea de codificaci\u00f3n descargando un proyecto de GitHub.<\/p>\n “El proyecto era una aplicaci\u00f3n Python troyanizada para recuperar precios de criptomonedas que se modific\u00f3 para llegar a un dominio controlado por un atacante y recuperar una carga \u00fatil de segunda etapa si se cumpl\u00edan condiciones espec\u00edficas”, dijeron Mandiant y los investigadores de TAG.<\/p>\n Esta no es la primera vez que UNC4899, que se ha atribuido al hack de JumpCloud de 2023, aprovecha este enfoque. En julio de 2023, GitHub advirti\u00f3 sobre un ataque de ingenier\u00eda social que buscaba enga\u00f1ar a los empleados que trabajaban en empresas de blockchain, criptomonedas, juegos de azar en l\u00ednea y ciberseguridad para que ejecutaran c\u00f3digo alojado en un repositorio de GitHub utilizando paquetes npm falsos.<\/p>\n Las campa\u00f1as de ingenier\u00eda social con temas laborales son un tema recurrente entre los grupos de pirater\u00eda de Corea del Norte, y el gigante tecnol\u00f3gico tambi\u00e9n detect\u00f3 una campa\u00f1a orquestada por un grupo al que rastrea como PAEKTUSAN para entregar un descargador de malware en C++ denominado AGAMEMNON a trav\u00e9s de archivos adjuntos de Microsoft Word incrustados en correos electr\u00f3nicos de phishing. .<\/p>\n “En un ejemplo, PAEKTUSAN cre\u00f3 una cuenta haci\u00e9ndose pasar por un director de recursos humanos de una empresa aeroespacial brasile\u00f1a y la utiliz\u00f3 para enviar correos electr\u00f3nicos de phishing a empleados de una segunda empresa aeroespacial brasile\u00f1a”, se\u00f1alaron los investigadores, y agregaron que las campa\u00f1as son consistentes con una actividad de larga duraci\u00f3n. rastreado como Operaci\u00f3n Dream Job.<\/p>\n “En una campa\u00f1a separada, PAEKTUSAN se hizo pasar por un reclutador de una importante empresa aeroespacial de EE. UU. y contact\u00f3 a profesionales en Brasil y otras regiones a trav\u00e9s de correo electr\u00f3nico y redes sociales sobre posibles oportunidades laborales”.<\/p>\n Google dijo adem\u00e1s que bloque\u00f3 los intentos de otro grupo norcoreano llamado PRONTO de apuntar a diplom\u00e1ticos con se\u00f1uelos de correo electr\u00f3nico relacionados con la desnuclearizaci\u00f3n y noticias para enga\u00f1arlos para que visiten p\u00e1ginas de recolecci\u00f3n de credenciales o proporcionen su informaci\u00f3n de inicio de sesi\u00f3n para ver un supuesto documento PDF.<\/p>\n El desarrollo se produce semanas despu\u00e9s de que Microsoft arrojara luz sobre un actor de amenazas previamente indocumentado de origen norcoreano, con nombre en c\u00f3digo Moonstone Sleet, que ha se\u00f1alado a personas y organizaciones en los sectores de base industrial de software y tecnolog\u00eda de la informaci\u00f3n, educaci\u00f3n y defensa con ataques de ransomware y espionaje. .<\/p>\n Entre las t\u00e1cticas destacables de Moonstone Sleet se encuentra la distribuci\u00f3n de malware a trav\u00e9s de paquetes npm falsificados. publicado en el registro npm<\/a>, reflejando el de UNC4899. Dicho esto, los paquetes asociados con los dos grupos tienen distintos estilos y estructuras de c\u00f3digo.<\/p>\n “Los paquetes de Jade Sleet, descubiertos a lo largo del verano de 2023, fueron dise\u00f1ados para funcionar en pares, y cada par fue publicado por una cuenta de usuario npm separada para distribuir su funcionalidad maliciosa”, dijeron los investigadores de Checkmarx, Tzachi Zornstein y Yehuda Gelb. dicho<\/a>.<\/p>\n “Por el contrario, los paquetes publicados a finales de 2023 y principios de 2024 adoptaron un enfoque de paquete \u00fanico m\u00e1s simplificado que ejecutar\u00eda su carga \u00fatil inmediatamente despu\u00e9s de la instalaci\u00f3n. En el segundo trimestre de 2024, los paquetes aumentaron en complejidad y los atacantes agregaron ofuscaci\u00f3n y tambi\u00e9n apunta a sistemas Linux”.<\/p>\n Independientemente de las diferencias, la t\u00e1ctica abusa de la confianza que los usuarios depositan en los repositorios de c\u00f3digo abierto, lo que permite a los actores de amenazas llegar a una audiencia m\u00e1s amplia y aumentar la probabilidad de que uno de sus paquetes maliciosos pueda ser instalado inadvertidamente por desarrolladores involuntarios.<\/p>\n La divulgaci\u00f3n es significativa, sobre todo porque marca una expansi\u00f3n del mecanismo de distribuci\u00f3n de malware de Moonstone Sleet, que anteriormente depend\u00eda de la difusi\u00f3n de paquetes npm falsos utilizando LinkedIn y sitios web de aut\u00f3nomos.<\/p>\n Los hallazgos tambi\u00e9n siguen al descubrimiento de una nueva campa\u00f1a de ingenier\u00eda social emprendida por el grupo Kimsuky, vinculado a Corea del Norte, en la que se hizo pasar por la agencia de noticias Reuters para atacar a activistas norcoreanos de derechos humanos y entregarles malware que roba informaci\u00f3n bajo la apariencia de una solicitud de entrevista, seg\u00fan a genios<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Hackers-norcoreanos-atacan-a-la-tecnologia-financiera-brasilena-con-sofisticadas.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n