Investigadores de ciberseguridad han descubierto una nueva cepa de malware para macOS denominada TodoSwift que, seg\u00fan dicen, presenta puntos en com\u00fan con software malicioso conocido utilizado por grupos de piratas inform\u00e1ticos norcoreanos.<\/p>\n
“Esta aplicaci\u00f3n comparte varios comportamientos con el malware que hemos visto que se origin\u00f3 en Corea del Norte (RPDC), espec\u00edficamente el actor de amenazas conocido como BlueNoroff, como KANDYKORN y RustBucket”, dijo el investigador de seguridad de Kandji, Christopher L\u00f3pez. dicho<\/a> en un an\u00e1lisis.<\/p>\n RustBucket, que sali\u00f3 a la luz por primera vez en julio de 2023, se refiere a una puerta trasera basada en AppleScript que es capaz de obtener cargas \u00fatiles de la siguiente etapa de un servidor de comando y control (C2).<\/p>\n A fines del a\u00f1o pasado, Elastic Security Labs tambi\u00e9n descubri\u00f3 otro malware para macOS identificado como KANDYKORN que se implement\u00f3 en relaci\u00f3n con un ciberataque dirigido a ingenieros de blockchain de una plataforma de intercambio de criptomonedas no identificada.<\/p>\n KANDYKORN se distribuye mediante una sofisticada cadena de infecci\u00f3n de varias etapas y posee la capacidad de acceder y extraer datos del equipo de la v\u00edctima. Tambi\u00e9n est\u00e1 dise\u00f1ado para finalizar procesos arbitrarios y ejecutar comandos en el host.<\/p>\n Un rasgo com\u00fan que conecta a las dos familias de malware radica en el uso de linkpc[.]dominios de red para fines de C2. Se considera que tanto RustBucket como KANDYKORN son obra de un grupo de piratas inform\u00e1ticos llamado Lazarus Group (y su subgrupo conocido como BlueNoroff).<\/p>\n “La RPDC, a trav\u00e9s de unidades como el Grupo Lazarus, contin\u00faa atacando a empresas de la industria criptogr\u00e1fica con el objetivo de robar criptomonedas para eludir las sanciones internacionales que obstaculizan el crecimiento de su econom\u00eda y sus ambiciones”, dijo Elastic en ese momento.<\/p>\n “En esta intrusi\u00f3n, apuntaron a ingenieros de blockchain activos en un servidor de chat p\u00fablico con un se\u00f1uelo dise\u00f1ado para hablar de sus habilidades e intereses, con la promesa subyacente de una ganancia financiera”.<\/p>\n Los \u00faltimos hallazgos de la plataforma de seguridad y gesti\u00f3n de dispositivos de Apple muestran que TodoSwift se distribuye en forma de un archivo firmado llamado TodoTasks, que consta de un componente cuentagotas.<\/p>\n Este m\u00f3dulo es una aplicaci\u00f3n GUI escrita en SwiftUI que est\u00e1 dise\u00f1ada para mostrar un documento PDF armado a la v\u00edctima, mientras descarga y ejecuta de forma encubierta un binario de segunda etapa, una t\u00e9cnica empleada tambi\u00e9n en RustBucket.<\/p>\n El PDF se\u00f1uelo es un documento inofensivo relacionado con Bitcoin alojado en Google Drive, mientras que la carga \u00fatil maliciosa se recupera de un dominio controlado por el actor (“buy2x[.]com”). Se siguen realizando investigaciones adicionales sobre los detalles exactos del binario.<\/p>\n “El uso de una URL de Google Drive y el paso de la URL C2 como argumento de lanzamiento al binario de etapa 2 es consistente con el malware anterior de la RPDC que afectaba a los sistemas macOS”, dijo L\u00f3pez.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-nuevo-malware-TodoSwift-para-macOS-esta-vinculado-a-grupos.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n