Un grupo de ciberespionaje aliado con Corea del Sur ha sido vinculado a la explotaci\u00f3n de d\u00eda cero de una falla cr\u00edtica de ejecuci\u00f3n remota de c\u00f3digo ahora parcheada en Kingsoft WPS Office para implementar una puerta trasera a medida denominada SpyGlace.<\/p>\n
La actividad ha sido atribuida a un actor de amenazas denominado APT-C-60<\/strong>seg\u00fan las empresas de ciberseguridad ESET y DBAPPSecurity. Los ataques han sido encontr\u00f3<\/a> infectar a usuarios chinos y del este de Asia con malware.<\/p>\n La falla de seguridad en cuesti\u00f3n es CVE-2024-7262<\/a> (puntuaci\u00f3n CVSS: 9,3), que se debe a la falta de una validaci\u00f3n adecuada de las rutas de archivo proporcionadas por el usuario. Esta laguna permite b\u00e1sicamente que un adversario cargue una biblioteca arbitraria de Windows y logre la ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n El error “permite la ejecuci\u00f3n de c\u00f3digo mediante el secuestro del flujo de control del componente del complemento WPS Office promecefpluginhost.exe”, dijo ESET. dicho<\/a>y agreg\u00f3 que encontr\u00f3 otra forma de lograr el mismo efecto. La segunda vulnerabilidad se rastrea como CVE-2024-7263<\/a> (Puntuaci\u00f3n CVSS: 9,3).<\/p>\n El ataque concebido por APT-C-60 convierte la falla en un exploit de un solo clic que toma la forma de un documento de hoja de c\u00e1lculo con trampa explosiva que se carg\u00f3 en VirusTotal en febrero de 2024.<\/p>\n Espec\u00edficamente, el archivo viene incrustado con un enlace malicioso que, al hacer clic, desencadena una secuencia de infecci\u00f3n de varias etapas para entregar el troyano SpyGlace, un archivo DLL llamado TaskControler.dll que viene con capacidades de robo de archivos, carga de complementos y ejecuci\u00f3n de comandos.<\/p>\n “Los desarrolladores del exploit insertaron una imagen de las filas y columnas de la hoja de c\u00e1lculo dentro de la hoja de c\u00e1lculo para enga\u00f1ar y convencer al usuario de que el documento es una hoja de c\u00e1lculo normal”, dijo el investigador de seguridad Romain Dumont. “El hiperv\u00ednculo malicioso estaba vinculado a la imagen para que al hacer clic en una celda de la imagen se activara el exploit”.<\/p>\n APT-C-60 es cre\u00eddo<\/a> Estar activo desde 2021, con SpyGlace detectado<\/a> en circulaci\u00f3n desde junio de 2022, seg\u00fan el proveedor de ciberseguridad ThreatBook, con sede en Beijing.<\/p>\n “Independientemente de si el grupo desarroll\u00f3 o compr\u00f3 el exploit para CVE-2024-7262, definitivamente requiri\u00f3 cierta investigaci\u00f3n sobre los aspectos internos de la aplicaci\u00f3n, pero tambi\u00e9n conocimiento de c\u00f3mo se comporta el proceso de carga de Windows”, dijo Dumont.<\/p>\n “El exploit es astuto, ya que es lo suficientemente enga\u00f1oso como para enga\u00f1ar a cualquier usuario para que haga clic en una hoja de c\u00e1lculo de apariencia leg\u00edtima, y \u200b\u200bal mismo tiempo es muy eficaz y confiable. La elecci\u00f3n del formato de archivo MHTML permiti\u00f3 a los atacantes convertir una vulnerabilidad de ejecuci\u00f3n de c\u00f3digo en una vulnerabilidad remota”.<\/p>\n La revelaci\u00f3n se produce cuando la empresa eslovaca de ciberseguridad se\u00f1al\u00f3 que un complemento malicioso de terceros para la aplicaci\u00f3n de mensajer\u00eda Pidgin llamado ScreenShareOTR (o ss-otr) albergaba un c\u00f3digo responsable de descargar binarios de la siguiente etapa desde un servidor de comando y control (C&C), lo que en \u00faltima instancia condujo a la implementaci\u00f3n del malware DarkGate.<\/p>\n “La funcionalidad del complemento, como se anuncia, incluye el uso compartido de pantalla mediante el protocolo seguro de mensajer\u00eda off-the-record (OTR). Sin embargo, adem\u00e1s de eso, el complemento contiene c\u00f3digo malicioso”, dijo ESET dicho<\/a>“Espec\u00edficamente, algunas versiones de pidgin-screenshare.dll pueden descargar y ejecutar un script de PowerShell desde el servidor C&C”.<\/p>\n El complemento, que tambi\u00e9n contiene funciones de captura de pantalla y keylogger, ha sido utilizado desde entonces. remoto<\/a> desde lista de complementos de terceros<\/a>Se recomienda a los usuarios que hayan instalado el complemento que lo eliminen con efecto inmediato.<\/p>\n ESET tiene desde entonces encontr\u00f3<\/a> que el mismo c\u00f3digo de puerta trasera malicioso que ScreenShareOTR tambi\u00e9n se ha descubierto en una aplicaci\u00f3n llamada Cuna<\/a> (“cuna[.]im”) que pretende ser una bifurcaci\u00f3n de c\u00f3digo abierto de la aplicaci\u00f3n de mensajer\u00eda Signal. La aplicaci\u00f3n ha estado disponible para descargar durante casi un a\u00f1o a partir de septiembre de 2023.<\/p>\n El c\u00f3digo malicioso se descarga ejecutando un script de PowerShell, que luego obtiene y ejecuta un script de AutoIt compilado que finalmente instala DarkGate. La versi\u00f3n Linux de Cradle ofrece un ejecutable ELF que descarga y ejecuta comandos de shell y env\u00eda los resultados a un servidor remoto.<\/p>\n Otro indicador com\u00fan es que tanto el instalador del complemento como la aplicaci\u00f3n Cradle est\u00e1n firmados con un certificado digital v\u00e1lido emitido a una empresa polaca llamada “INTERREX – SP. Z OO”, lo que indica que los perpetradores est\u00e1n utilizando diferentes m\u00e9todos para propagar malware.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-grupo-APT-C-60-aprovecha-la-falla-de-WPS-Office-para.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n