Un nuevo troyano de acceso remoto llamado Pico de la luna<\/strong> Se ha descubierto que est\u00e1 siendo utilizado por un grupo de actividades de amenazas de Corea del Norte patrocinado por el Estado como parte de una nueva campa\u00f1a.<\/p>\n Cisco Talos atribuy\u00f3 la campa\u00f1a cibern\u00e9tica maliciosa a un grupo de piratas inform\u00e1ticos que rastrea como UAT-5394, que seg\u00fan dijo exhibe cierto nivel de superposiciones t\u00e1cticas con un conocido actor de un estado nacional cuyo nombre en c\u00f3digo es Kimsuky.<\/p>\n MoonPeak, en desarrollo activo por parte del actor de amenazas, es una variante del malware de c\u00f3digo abierto Xeno RAT, que fue previamente implementado<\/a> como parte de ataques de phishing que est\u00e1n dise\u00f1ados para recuperar la carga \u00fatil de servicios en la nube controlados por actores como Dropbox, Google Drive y Microsoft OneDrive.<\/p>\n Algunas de las caracter\u00edsticas clave de Xeno RAT incluyen la capacidad de cargar complementos adicionales, iniciar y finalizar procesos y comunicarse con un servidor de comando y control (C2).<\/p>\n Talos dijo que los puntos en com\u00fan entre los dos conjuntos de intrusiones indican que UAT-5394 es en realidad Kimsuky (o su subgrupo) o es otro equipo de piratas inform\u00e1ticos dentro del aparato cibern\u00e9tico de Corea del Norte que toma prestada su caja de herramientas de Kimsuky.<\/p>\n La clave para realizar la campa\u00f1a es el uso de nueva infraestructura, incluidos servidores C2, sitios de alojamiento de carga \u00fatil y m\u00e1quinas virtuales de prueba, que se han creado para generar nuevas iteraciones de MoonPeak.<\/p>\n “El servidor C2 aloja artefactos maliciosos para descargar, que luego se utilizan para acceder y configurar una nueva infraestructura para respaldar esta campa\u00f1a”, dijeron los investigadores de Talos Asheer Malhotra, Guilherme Venere y Vitor Ventura. dicho<\/a> en un an\u00e1lisis del mi\u00e9rcoles.<\/p>\n “En varios casos, tambi\u00e9n observamos que el actor de la amenaza acced\u00eda a servidores existentes para actualizar sus cargas \u00fatiles y recuperar registros e informaci\u00f3n recopilada de las infecciones de MoonPeak”.<\/p>\n El cambio se considera parte de un cambio m\u00e1s amplio que pasa de utilizar proveedores leg\u00edtimos de almacenamiento en la nube a configurar sus propios servidores. Dicho esto, los objetivos de la campa\u00f1a a\u00fan no se conocen.<\/p>\n Un aspecto importante a tener en cuenta aqu\u00ed es que “la evoluci\u00f3n constante de MoonPeak va de la mano con la nueva infraestructura establecida por los actores de amenazas” y que cada nueva versi\u00f3n del malware introduce m\u00e1s t\u00e9cnicas de ofuscaci\u00f3n para frustrar el an\u00e1lisis y cambios en el mecanismo de comunicaci\u00f3n general para evitar conexiones no autorizadas.<\/p>\n “En pocas palabras, los actores de la amenaza se aseguraron de que variantes espec\u00edficas de MoonPeak solo funcionen con variantes espec\u00edficas del servidor C2”, se\u00f1alaron los investigadores.<\/p>\n “Los plazos de adopci\u00f3n constante de nuevo malware y su evoluci\u00f3n, como en el caso de MoonPeak, ponen de relieve que UAT-5394 sigue a\u00f1adiendo y mejorando m\u00e1s herramientas a su arsenal. El r\u00e1pido ritmo de creaci\u00f3n de nueva infraestructura de apoyo por parte de UAT-5394 indica que el grupo pretende propagar r\u00e1pidamente esta campa\u00f1a y establecer m\u00e1s puntos de entrega y servidores C2”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Hackers-norcoreanos-utilizan-el-nuevo-troyano-MoonPeak-en-una-campana.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n