Se ha observado que el actor de amenazas de habla china conocido como Earth Lusca utiliza una nueva puerta trasera denominada KTLVdoor como parte de un ciberataque dirigido a una empresa comercial an\u00f3nima con sede en China.<\/p>\n
El malware, que no hab\u00eda sido reportado previamente, est\u00e1 escrito en Golang y, por lo tanto, es un arma multiplataforma capaz de atacar sistemas Microsoft Windows y Linux.<\/p>\n
“KTLVdoor es un malware altamente ofuscado que se hace pasar por diferentes utilidades del sistema, lo que permite a los atacantes realizar una variedad de tareas, incluida la manipulaci\u00f3n de archivos, la ejecuci\u00f3n de comandos y el escaneo remoto de puertos”, dijeron los investigadores de Trend Micro Cedric Pernet y Jaromir Horejsi. dicho<\/a> en un an\u00e1lisis publicado el mi\u00e9rcoles.<\/p>\n Algunas de las herramientas que KTLVdoor suplanta incluyen sshd, Java, SQLite, bash y edr-agent, entre otras, y el malware se distribuye en forma de biblioteca de v\u00ednculo din\u00e1mico (.dll) o de objeto compartido (.so).<\/p>\n Quiz\u00e1s el aspecto m\u00e1s inusual del grupo de actividades es el descubrimiento de m\u00e1s de 50 servidores de comando y control (C&C), todos alojados en la empresa china Alibaba, que han sido identificados por comunicarse con variantes del malware, lo que aumenta la posibilidad de que la infraestructura pueda ser compartida con otros actores de amenazas chinos.<\/p>\n Se sabe que Earth Lusca est\u00e1 activo desde al menos 2021, organizando ciberataques contra entidades del sector p\u00fablico y privado en Asia, Australia, Europa y Am\u00e9rica del Norte. Se estima que comparte algunas superposiciones t\u00e1cticas con otros conjuntos de intrusiones rastreados como RedHotel y APT27 (tambi\u00e9n conocidos como Budworm, Emissary Panda y Tigre de hierro<\/a>).<\/p>\n KTLVdoor, la \u00faltima incorporaci\u00f3n al arsenal de malware del grupo, est\u00e1 altamente ofuscado y recibe su nombre del uso de un marcador llamado “KTLV” en su archivo de configuraci\u00f3n que incluye varios par\u00e1metros necesarios para cumplir con sus funciones, incluidos los servidores C&C a los que conectarse.<\/p>\n Una vez inicializado, el malware inicia contacto con el servidor C&C en un bucle, a la espera de que se ejecuten m\u00e1s instrucciones en el host comprometido. Los comandos admitidos le permiten descargar\/cargar archivos, enumerar el sistema de archivos, iniciar un shell interactivo, ejecutar c\u00f3digo shell e iniciar un escaneo mediante ScanTCP, ScanRDP, DialTLS, ScanPing y ScanWeb, entre otros.<\/p>\n Dicho esto, no se sabe mucho sobre c\u00f3mo se distribuye el malware y si se ha utilizado para atacar a otras entidades en todo el mundo.<\/p>\n “Esta nueva herramienta es utilizada por Earth Lusca, pero tambi\u00e9n podr\u00eda ser compartida con otros actores de amenazas de habla china”, se\u00f1alaron los investigadores. “Al ver que todos los servidores C&C estaban en direcciones IP del proveedor chino Alibaba, nos preguntamos si la apariencia de este nuevo malware y el servidor C&C no podr\u00edan ser una etapa temprana de prueba de la nueva herramienta”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Se-descubre-el-nuevo-malware-multiplataforma-KTLVdoor-en-un-ataque.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n