Se ha observado que un grupo de ciberespionaje vinculado a Corea del Norte utiliza se\u00f1uelos de phishing con tem\u00e1tica laboral para apuntar a posibles v\u00edctimas en los sectores energ\u00e9tico y aeroespacial e infectarlas con una puerta trasera previamente no documentada denominada MISTPEN.<\/p>\n
El grupo de actividades est\u00e1 siendo rastreado por Mandiant, propiedad de Google, bajo el nombre N\u00famero de serie 2970<\/strong>que seg\u00fan dice se superpone con un grupo de amenaza conocido como TEMP.Hermit, que tambi\u00e9n se denomina ampliamente Lazarus Group o Diamond Sleet (anteriormente Zinc).<\/p>\n El actor de amenazas tiene antecedentes de atacar a instituciones gubernamentales, de defensa, de telecomunicaciones y financieras en todo el mundo desde al menos 2013 para recopilar informaci\u00f3n estrat\u00e9gica que favorezca los intereses de Corea del Norte. Est\u00e1 afiliado a la Oficina General de Reconocimiento (RGB).<\/p>\n La empresa de inteligencia sobre amenazas dijo que ha observado que la norma UNC2970 se\u00f1ala varias entidades ubicadas en Estados Unidos, el Reino Unido, los Pa\u00edses Bajos, Chipre, Suecia, Alemania, Singapur, Hong Kong y Australia.<\/p>\n “UNC2970 ataca a las v\u00edctimas bajo la apariencia de ofertas de trabajo, haci\u00e9ndose pasar por reclutadores de importantes empresas”, afirma. dicho<\/a> En un nuevo an\u00e1lisis, al agregarlo, se copian y modifican las descripciones de trabajo seg\u00fan sus perfiles objetivo.<\/p>\n “Adem\u00e1s, las descripciones de puestos de trabajo elegidas est\u00e1n dirigidas a empleados de nivel superior o de gesti\u00f3n. Esto sugiere que el actor de la amenaza pretende obtener acceso a informaci\u00f3n sensible y confidencial que normalmente est\u00e1 restringida a los empleados de nivel superior”.<\/p>\n Las cadenas de ataque, tambi\u00e9n conocidas como Operaci\u00f3n Dream Job, implican el uso de se\u00f1uelos de phishing para interactuar con las v\u00edctimas por correo electr\u00f3nico y WhatsApp en un intento de generar confianza, antes de enviar un archivo ZIP malicioso disfrazado de descripci\u00f3n de trabajo.<\/p>\n En un giro interesante, el archivo PDF de la descripci\u00f3n solo se puede abrir con una versi\u00f3n troyanizada de una aplicaci\u00f3n de lectura de PDF leg\u00edtima llamada Sumatra PDF incluida dentro del archivo para entregar MISTPEN por medio de un iniciador conocido como BURNBOOK.<\/p>\n Cabe se\u00f1alar que esto no implica un ataque a la cadena de suministro ni que exista una vulnerabilidad en el software. M\u00e1s bien, se ha descubierto que el ataque emplea una versi\u00f3n anterior de Sumatra PDF que se ha reutilizado para activar la cadena de infecci\u00f3n.<\/p>\n Este es un m\u00e9todo probado y adoptado por el grupo de piratas inform\u00e1ticos desde 2022, y tanto Mandiant como Microsoft destacan el uso de una amplia gama de software de c\u00f3digo abierto, incluido PuTTY, KiTTY, TightVNC, Sumatra PDF Reader y el instalador de software muPDF\/Subliminal Recording para estos ataques.<\/p>\n Se cree que los actores de la amenaza probablemente ordenan a las v\u00edctimas que abran el archivo PDF utilizando el programa de visualizaci\u00f3n de PDF incluido para activar la ejecuci\u00f3n de un archivo DLL malicioso, un lanzador C\/C++ llamado BURNBOOK.<\/p>\n “Este archivo es un programa para instalar una DLL integrada, ‘wtsapi32.dll’, que se rastrea como TEARPAGE y se utiliza para ejecutar la puerta trasera MISTPEN despu\u00e9s de reiniciar el sistema”, dijeron los investigadores de Mandiant. “MISTPEN es una versi\u00f3n troyanizada de un complemento leg\u00edtimo de Notepad++, binhex.dll, que contiene una puerta trasera”.<\/p>\n TEARPAGE, un cargador integrado en BURNBOOK, es responsable de descifrar y ejecutar MISTPEN. MISTPEN, un implante liviano escrito en C, est\u00e1 equipado para descargar y ejecutar archivos ejecutables port\u00e1tiles (PE) recuperados de un servidor de comando y control (C2). Se comunica a trav\u00e9s de HTTP con las siguientes URL de Microsoft Graph.<\/p>\n Mandiant tambi\u00e9n afirm\u00f3 que descubri\u00f3 artefactos m\u00e1s antiguos de BURNBOOK y MISTPEN, lo que sugiere que se est\u00e1n mejorando iterativamente para agregar m\u00e1s capacidades y permitir que pasen desapercibidos. Las primeras muestras de MISTPEN tambi\u00e9n se descubrieron utilizando sitios web de WordPress comprometidos como dominios C2.<\/p>\n “El actor de amenazas ha mejorado su malware con el tiempo implementando nuevas funciones y agregando una verificaci\u00f3n de conectividad de red para dificultar el an\u00e1lisis de las muestras”, dijeron los investigadores.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Los-piratas-informaticos-norcoreanos-atacan-las-industrias-energetica-y-aeroespacial.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n