Se ha descubierto que el servidor de actualizaci\u00f3n de productos de un proveedor de planificaci\u00f3n de recursos empresariales (ERP) de Corea del Sur no identificado est\u00e1 comprometido para distribuir una puerta trasera basada en Go denominada Xctdoor.<\/p>\n
El Centro de Inteligencia de Seguridad AhnLab (ASEC), que identificado<\/a> El ataque de mayo de 2024 no se atribuy\u00f3 a un actor o grupo de amenazas conocido, pero se se\u00f1al\u00f3 que las t\u00e1cticas se superponen con las de Andariel, un subgrupo dentro del infame Grupo Lazarus.<\/p>\n Las similitudes se deben al uso previo por parte del adversario norcoreano de la soluci\u00f3n ERP para distribuir malware como HotCroissant (que es id\u00e9ntico a Rifdoor) en 2017, insertando una rutina maliciosa en un programa de actualizaci\u00f3n de software.<\/p>\n En el reciente incidente analizado por ASEC, se dice que el mismo ejecutable fue manipulado para ejecutar un archivo DLL desde una ruta espec\u00edfica utilizando el proceso regsvr32.exe<\/a> en lugar de iniciar un descargador.<\/p>\n El archivo DLL, Xctdoor, es capaz de robar informaci\u00f3n del sistema, incluidas pulsaciones de teclas, capturas de pantalla y contenido del portapapeles, y ejecutar comandos emitidos por el actor de la amenaza.<\/p>\n “Xctdoor se comunica con el [command-and-control] El servidor utiliza el protocolo HTTP, mientras que el cifrado de paquetes emplea el algoritmo Mersenne Twister (MT19937) y el algoritmo Base64”, dijo ASEC.<\/p>\n Tambi\u00e9n se utiliza en el ataque un malware llamado XcLoader, que act\u00faa como un malware inyector responsable de inyectar Xctdoor en procesos leg\u00edtimos (por ejemplo, “explorer.exe”).<\/p>\n ASEC afirm\u00f3 que detect\u00f3 adem\u00e1s casos en los que servidores web poco seguros se vieron comprometidos para instalar XcLoader desde al menos marzo de 2024.<\/p>\n El desarrollo se produce luego de que otro actor de amenazas vinculado con Corea del Norte, conocido como Kimusky, ha sido observado empleando una puerta trasera previamente no documentada con nombre en c\u00f3digo Puerta feliz<\/a> que se ha puesto en uso desde julio de 2021.<\/p>\n Las cadenas de ataque que distribuyen el malware aprovechan los correos electr\u00f3nicos de phishing como punto de partida para difundir un archivo comprimido, que contiene un JavaScript ofuscado o un cuentagotas que, cuando se ejecuta, crea y ejecuta HappyDoor junto con un archivo se\u00f1uelo.<\/p>\n HappyDoor, un archivo DLL ejecutado a trav\u00e9s de regsvr32.exe, est\u00e1 equipado para comunicarse con un servidor remoto a trav\u00e9s de HTTP y facilitar el robo de informaci\u00f3n, la descarga\/carga de archivos, as\u00ed como actualizarse y finalizarse.<\/p>\n Tambi\u00e9n sigue una campa\u00f1a de distribuci\u00f3n de malware “masiva” orquestada por el grupo de ciberespionaje Konni (tambi\u00e9n conocido como Opal Sleet, Osmium o TA406) que apunta a Corea del Sur con se\u00f1uelos de phishing que se hacen pasar por el servicio fiscal nacional para entregar malware capaz de robar informaci\u00f3n confidencial, dijo el investigador de seguridad Idan Tarab. dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Hackean-servidor-de-proveedor-de-ERP-de-Corea-del-Sur.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n