Los investigadores en ciberseguridad han descubierto<\/a> una variante actualizada de un conocido malware ladr\u00f3n que los atacantes afiliados a la Rep\u00fablica Popular Democr\u00e1tica de Corea (RPDC) han distribuido como parte de campa\u00f1as anteriores de espionaje cibern\u00e9tico dirigidas a solicitantes de empleo.<\/p>\n El artefacto en cuesti\u00f3n es un archivo de imagen de disco (DMG) de Apple macOS llamado “MiroTalk.dmg” que imita el servicio de videollamada leg\u00edtimo<\/a> del mismo nombre, pero, en realidad, sirve como conducto para entregar una versi\u00f3n nativa de BeaverTail, dijo el investigador de seguridad Patrick Wardle. dicho<\/a>.<\/p>\n BeaverTail hace referencia a un malware ladr\u00f3n de JavaScript que fue documentado por primera vez por la Unidad 42 de Palo Alto Networks en noviembre de 2023 como parte de una campa\u00f1a denominada Contagious Interview que tiene como objetivo infectar a los desarrolladores de software con malware a trav\u00e9s de un supuesto proceso de entrevistas de trabajo. Securonix est\u00e1 rastreando la misma actividad bajo el nombre de DEV#POPPER.<\/p>\n Adem\u00e1s de extraer informaci\u00f3n confidencial de navegadores web y billeteras de criptomonedas, el malware es capaz de entregar cargas \u00fatiles adicionales como InvisibleFerret, una puerta trasera de Python responsable de descargar AnyDesk para acceso remoto persistente.<\/p>\n Si bien BeaverTail se ha distribuido a trav\u00e9s de paquetes npm falsos alojados en GitHub y el registro de paquetes npm, los \u00faltimos hallazgos marcan un cambio en el vector de distribuci\u00f3n.<\/p>\n “Si tuviera que adivinar, los piratas inform\u00e1ticos de la RPDC probablemente se acercaron a sus v\u00edctimas potenciales, solicit\u00e1ndoles que se unieran a una reuni\u00f3n de contrataci\u00f3n, descargando y ejecutando la (versi\u00f3n infectada de) MiroTalk alojada en mirotalk[.]”net”, dijo Wardle.<\/p>\n Un an\u00e1lisis del archivo DMG sin firmar revela que facilita el robo de datos de navegadores web como Google Chrome, Brave y Opera, billeteras de criptomonedas y iCloud Keychain. Adem\u00e1s, est\u00e1 dise\u00f1ado para descargar y ejecutar scripts de Python adicionales desde un servidor remoto (es decir, InvisibleFerret).<\/p>\n “Los hackers norcoreanos son astutos y muy h\u00e1biles para hackear objetivos macOS, aunque su t\u00e9cnica a menudo se basa en ingenier\u00eda social (y por lo tanto, desde un punto de vista t\u00e9cnico, son bastante poco impresionantes)”, dijo Wardle.<\/p>\n La revelaci\u00f3n llega en el momento en que Phylum descubierto<\/a> un nuevo paquete npm malicioso llamado call-blockflow que es virtualmente id\u00e9ntico al leg\u00edtimo call-bind pero que incorpora una funcionalidad compleja para descargar un archivo binario remoto mientras realiza esfuerzos minuciosos para pasar desapercibido.<\/p>\n “En este ataque, si bien el paquete call-bind no se ha visto comprometido, el paquete call-blockflow convertido en arma copia toda la confianza y legitimidad del original para reforzar el \u00e9xito del ataque”, dijo en una declaraci\u00f3n compartida con The Hacker News.<\/p>\n El paquete, que se sospecha es obra del Grupo Lazarus, vinculado a Corea del Norte, y que se public\u00f3 aproximadamente una hora y media despu\u00e9s de haber sido subido a npm, atrajo un total de 18 descargas<\/a>La evidencia sugiere que la actividad, que comprende m\u00e1s de tres docenas de paquetes maliciosos, se ha estado desarrollando en oleadas desde septiembre de 2023.<\/p>\n “Estos paquetes, una vez instalados, descargaban un archivo remoto, lo descifraban, ejecutaban una funci\u00f3n exportada desde \u00e9l y luego cubr\u00edan meticulosamente sus huellas eliminando y renombrando los archivos”, dijo la empresa de seguridad de la cadena de suministro de software. dicho<\/a>“Esto dej\u00f3 el directorio del paquete en un estado aparentemente benigno despu\u00e9s de la instalaci\u00f3n”.<\/p>\n Tambi\u00e9n sigue un aviso de JPCERT\/CC, advirtiendo sobre ataques cibern\u00e9ticos orquestados por el actor norcoreano Kimsuky dirigidos a organizaciones japonesas.<\/p>\n El proceso de infecci\u00f3n comienza con mensajes de phishing que se hacen pasar por organizaciones diplom\u00e1ticas y de seguridad y contienen un ejecutable malicioso que, al abrirse, conduce a la descarga de un script de Visual Basic (VBS), que, a su vez, recupera un script de PowerShell para recopilar informaci\u00f3n de cuentas de usuario, sistema y red, as\u00ed como enumerar archivos y procesos.<\/p>\n Luego, la informaci\u00f3n recopilada se filtra a un servidor de comando y control (C2), que responde con un segundo archivo VBS que luego se ejecuta para buscar y ejecutar un keylogger basado en PowerShell llamado InfoKey.<\/p>\n “Aunque ha habido pocos informes de actividades de ataque por parte de Kimsuky contra organizaciones en Jap\u00f3n, existe la posibilidad de que Jap\u00f3n tambi\u00e9n est\u00e9 siendo atacado activamente”, JPCERT\/CC dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Hackers-norcoreanos-actualizan-el-malware-BeaverTail-para-atacar-a-los.png\")
<\/a><\/center><\/section>\n