Una falla de seguridad recientemente parcheada en Google Chrome y otros navegadores web Chromium fue explotada como un d\u00eda cero por actores norcoreanos en una campa\u00f1a dise\u00f1ada para distribuir el rootkit FudModule.<\/p>\n
Este desarrollo es un indicio de los esfuerzos persistentes realizados por el adversario del estado-naci\u00f3n, que hab\u00eda adquirido el h\u00e1bito de incorporar numerosos exploits de d\u00eda cero para Windows a su arsenal en los \u00faltimos meses.<\/p>\n
Microsoft, que detect\u00f3 la actividad el 19 de agosto de 2024, la atribuy\u00f3 a un actor de amenazas que rastrea como Citrine Sleet (anteriormente DEV-0139 y DEV-1222), que tambi\u00e9n se conoce como AppleJeus, Labyrinth Chollima, Nickel Academy y UNC4736. Se considera que es un subgrupo dentro del Grupo Lazarus (tambi\u00e9n conocido como Diamond Sleet y Hidden Cobra).<\/p>\n
Vale la pena mencionar que el uso del malware AppleJeus tambi\u00e9n se ha detectado anteriormente. atribuido<\/a> por Kaspersky a otro subgrupo de Lazarus llamado BlueNoroff (tambi\u00e9n conocido como APT38, Nickel Gladstone y Stardust Chollima), lo que indica que estos actores de amenazas comparten infraestructura y conjuntos de herramientas.<\/p>\n “Citrine Sleet tiene su base en Corea del Norte y se dirige principalmente a instituciones financieras, en particular organizaciones e individuos que manejan criptomonedas, para obtener ganancias financieras”, dijo el equipo de Inteligencia de Amenazas de Microsoft. dicho<\/a>.<\/p>\n “Como parte de sus t\u00e1cticas de ingenier\u00eda social, Citrine Sleet ha llevado a cabo un reconocimiento exhaustivo de la industria de las criptomonedas y de las personas asociadas a ella”.<\/p>\n Las cadenas de ataque Por lo general implican<\/a> crear sitios web falsos que se hacen pasar por plataformas leg\u00edtimas de comercio de criptomonedas y que buscan enga\u00f1ar a los usuarios para que instalen billeteras de criptomonedas armadas o aplicaciones de comercio que facilitan el robo de activos digitales.<\/p>\n El ataque de d\u00eda cero observado por Citrine Sleet implic\u00f3 la explotaci\u00f3n de CVE-2024-7971, una vulnerabilidad de confusi\u00f3n de tipos de alta gravedad en el motor V8 JavaScript y WebAssembly que podr\u00eda permitir a los actores de amenazas obtener ejecuci\u00f3n remota de c\u00f3digo (RCE) en el proceso de renderizado de Chromium en un entorno aislado. Google lo parch\u00f3 como parte de las actualizaciones publicadas la semana pasada.<\/p>\n Como ya afirm\u00f3 The Hacker News, CVE-2024-7971 es el tercer error de confusi\u00f3n de tipos explotado activamente en V8 que Google resolvi\u00f3 este a\u00f1o despu\u00e9s de CVE-2024-4947 y CVE-2024-5274.<\/p>\n Actualmente no est\u00e1 claro cu\u00e1n generalizados fueron estos ataques ni qui\u00e9nes fueron los objetivos, pero se dice que las v\u00edctimas fueron dirigidas a un sitio web malicioso llamado voyagorclub.[.]espacio probablemente a trav\u00e9s de t\u00e9cnicas de ingenier\u00eda social, lo que desencadena un exploit para CVE-2024-7971.<\/p>\n El exploit RCE, por su parte, allana el camino para la recuperaci\u00f3n del c\u00f3digo shell que contiene un exploit de escape de sandbox de Windows (CVE-2024-38106) y el rootkit FudModule, que se utiliza para establecer acceso de administrador a kernel en sistemas basados \u200b\u200ben Windows para permitir funciones primitivas de lectura\/escritura y realizar [direct kernel object manipulation].”<\/p>\n CVE-2024-38106, un error de escalada de privilegios del kernel de Windows, es una de las seis fallas de seguridad explotadas activamente que Microsoft solucion\u00f3 como parte de su actualizaci\u00f3n del martes de parches de agosto de 2024. Dicho esto, se ha descubierto que la explotaci\u00f3n de la falla vinculada a Citrine Sleet ocurri\u00f3 despu\u00e9s de que se lanzara la soluci\u00f3n.<\/p>\n “Esto puede sugerir una ‘colisi\u00f3n de errores’, donde la misma vulnerabilidad es descubierta independientemente por actores de amenazas diferentes, o el conocimiento de la vulnerabilidad fue compartido por un investigador de vulnerabilidades a m\u00faltiples actores”, dijo Microsoft.<\/p>\n CVE-2024-7971 es tambi\u00e9n la tercera vulnerabilidad que los actores de amenazas norcoreanos han aprovechado este a\u00f1o para lanzar el rootkit FudModule, despu\u00e9s de CVE-2024-21338 y CVE-2024-38193, ambas son fallas de escalada de privilegios en los controladores integrados de Windows y fueron corregidas por Microsoft en febrero y agosto.<\/p>\n “La cadena de explotaci\u00f3n CVE-2024-7971 se basa en m\u00faltiples componentes para comprometer un objetivo, y esta cadena de ataque falla si alguno de estos componentes est\u00e1 bloqueado, incluido CVE-2024-38106”, afirm\u00f3 la compa\u00f1\u00eda.<\/p>\n “Los exploits de d\u00eda cero requieren no solo mantener los sistemas actualizados, sino tambi\u00e9n soluciones de seguridad que brinden visibilidad unificada en toda la cadena de ciberataque para detectar y bloquear las herramientas de los atacantes posteriores al compromiso y la actividad maliciosa posterior a la explotaci\u00f3n”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Hackers-norcoreanos-utilizan-rootkit-FudModule-a-traves-de-exploit-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n