Los investigadores de ciberseguridad siguen advirtiendo sobre los intentos de los actores de amenazas norcoreanos de apuntar a posibles v\u00edctimas en LinkedIn para distribuir malware llamado RustDoor.<\/p>\n
El \u00faltimo aviso proviene de Jamf Threat Labs, que dijo haber detectado un intento de ataque en el que un usuario fue contactado en la red social profesional afirmando ser un reclutador para un intercambio de criptomonedas descentralizado leg\u00edtimo (DEX) llamado STON.fi.<\/p>\n
La actividad cibern\u00e9tica maliciosa es parte de una campa\u00f1a de m\u00faltiples frentes desatada por actores de amenazas cibern\u00e9ticas respaldados por la Rep\u00fablica Popular Democr\u00e1tica de Corea (RPDC) para infiltrarse en redes de inter\u00e9s con el pretexto de realizar entrevistas o tareas de codificaci\u00f3n.<\/p>\n
Los sectores financiero y de criptomonedas se encuentran entre los principales objetivos de los adversarios patrocinados por el Estado que buscan generar ingresos il\u00edcitos y cumplir un conjunto de objetivos en constante evoluci\u00f3n basados \u200b\u200ben los intereses del r\u00e9gimen.<\/p>\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Los-piratas-informaticos-norcoreanos-atacan-a-los-usuarios-de-criptomonedas.png\")
<\/a><\/center><\/div>\nEstos ataques se manifiestan en forma de “campa\u00f1as de ingenier\u00eda social altamente personalizadas y dif\u00edciles de detectar” dirigidas a empleados de finanzas descentralizadas (“DeFi”), criptomonedas y negocios similares, como lo destac\u00f3 recientemente la Oficina Federal de Investigaciones de Estados Unidos (FBI) en un aviso.<\/p>\n
Uno de los indicadores notables de la actividad de ingenier\u00eda social de Corea del Norte se relaciona con las solicitudes para ejecutar c\u00f3digo o descargar aplicaciones en dispositivos propiedad de la empresa o dispositivos que tienen acceso a la red interna de una empresa.<\/p>\n
Otro aspecto que vale la pena mencionar es que dichos ataques tambi\u00e9n implican “solicitudes para realizar una ‘prueba previa al empleo’ o un ejercicio de depuraci\u00f3n que implica la ejecuci\u00f3n de paquetes Node.js, paquetes PyPI, scripts o repositorios de GitHub no est\u00e1ndar o desconocidos”.<\/p>\n
En las \u00faltimas semanas se han documentado ampliamente casos de este tipo de t\u00e1cticas, lo que pone de relieve una evoluci\u00f3n persistente de las herramientas utilizadas en estas campa\u00f1as contra los objetivos.<\/p>\n
La \u00faltima cadena de ataque detectada por Jamf implica enga\u00f1ar a la v\u00edctima para que descargue un proyecto de Visual Studio con trampa explosiva como parte de un supuesto desaf\u00edo de codificaci\u00f3n que incorpora comandos bash para descargar dos cargas \u00fatiles de segunda etapa diferentes (“VisualStudioHelper” y “zsh_env”) con funcionalidad id\u00e9ntica.<\/p>\n
Este malware de segunda etapa es RustDoor, que la empresa est\u00e1 rastreando como Thiefbucket. Al momento de escribir este art\u00edculo, ninguno de los motores antimalware ha marcado<\/a> El archivo de prueba de codificaci\u00f3n comprimido es malicioso. Se carg\u00f3 en la plataforma VirusTotal el 7 de agosto de 2024.<\/p>\n “Los archivos de configuraci\u00f3n integrados en las dos muestras de malware independientes muestran que VisualStudioHelper persistir\u00e1 a trav\u00e9s de cron, mientras que zsh_env persistir\u00e1 a trav\u00e9s del archivo zshrc”, dijeron los investigadores Jaron Bradley y Ferdous Saljooki.<\/p>\n RustDoor, una puerta trasera para macOS, fue documentada por primera vez por Bitdefender en febrero de 2024 en relaci\u00f3n con una campa\u00f1a de malware dirigida a empresas de criptomonedas. Un an\u00e1lisis posterior de S2W descubri\u00f3 una variante de Golang denominada GateDoor que est\u00e1 destinada a infectar m\u00e1quinas Windows.<\/p>\n Los hallazgos de Jamf son significativos, no s\u00f3lo porque marcan la primera vez que el malware se atribuye formalmente a actores de amenazas norcoreanos, sino tambi\u00e9n por el hecho de que el malware est\u00e1 escrito en Objective-C.<\/p>\n VisualStudioHelper tambi\u00e9n est\u00e1 dise\u00f1ado para actuar como un ladr\u00f3n de informaci\u00f3n al recolectar archivos especificados en la configuraci\u00f3n, pero solo despu\u00e9s de solicitarle al usuario que ingrese su contrase\u00f1a del sistema haci\u00e9ndola pasar como si se originara en la aplicaci\u00f3n de Visual Studio para evitar levantar sospechas.<\/p>\n Sin embargo, ambas cargas \u00fatiles funcionan como una puerta trasera y utilizan dos servidores diferentes para las comunicaciones de comando y control (C2).<\/p>\n “Los actores de amenazas siguen estando alertas para encontrar nuevas formas de perseguir a quienes trabajan en la industria de las criptomonedas”, dijeron los investigadores. “Es importante capacitar a sus empleados, incluidos los desarrolladores, para que sean cautelosos a la hora de confiar en quienes se conectan en las redes sociales y piden a los usuarios que ejecuten software de cualquier tipo.<\/p>\n “Estos esquemas de ingenier\u00eda social llevados a cabo por la RPDC provienen de personas que dominan el ingl\u00e9s y entran en la conversaci\u00f3n habiendo investigado bien su objetivo”.<\/p>\n <\/p>\n<\/a><\/center><\/section>\n