Se ha observado que los actores de amenazas con v\u00ednculos con Corea del Norte entregan una puerta trasera y un troyano de acceso remoto (RAT) previamente indocumentados llamado VeilShell como parte de una campa\u00f1a dirigida a Camboya y probablemente a otros pa\u00edses del sudeste asi\u00e1tico.<\/p>\n
La actividad, denominada ENVOLVIDO#DUE\u00d1O<\/strong> de Securonix, se cree que es obra de APT37, que tambi\u00e9n se conoce como InkySquid, Reaper, RedEyes, Ricochet Chollima, Ruby Sleet y ScarCruft.<\/p>\n Activo desde al menos 2012, se considera que el colectivo adversario forma parte del Ministerio de Seguridad del Estado (MSS) de Corea del Norte. Al igual que otros grupos alineados con el Estado, los afiliados a Corea del Norte, incluidos el Grupo Lazarus y Kimsuky, var\u00edan en su modus operandi y probablemente tengan objetivos en constante evoluci\u00f3n basados \u200b\u200ben los intereses estatales.<\/p>\n Un malware clave en su caja de herramientas es RokRAT (tambi\u00e9n conocido como Goldbackdoor), aunque el grupo tambi\u00e9n ha desarrollado herramientas personalizadas para facilitar la recopilaci\u00f3n de inteligencia encubierta.<\/p>\n Actualmente no se sabe c\u00f3mo se entrega a los objetivos la carga \u00fatil de la primera etapa, un archivo ZIP que contiene un archivo de acceso directo de Windows (LNK). Sin embargo, se sospecha que probablemente implique el env\u00edo de correos electr\u00f3nicos de phishing.<\/p>\n “El [VeilShell] El troyano de puerta trasera permite al atacante acceso completo a la m\u00e1quina comprometida”, dijeron los investigadores Den Iuzvyk y Tim Peck en un informe t\u00e9cnico. informe<\/a> compartido con The Hacker News. “Algunas caracter\u00edsticas incluyen filtraci\u00f3n de datos, registro y creaci\u00f3n o manipulaci\u00f3n de tareas programadas”.<\/p>\n El archivo LNK, una vez iniciado, act\u00faa como un cuentagotas, ya que activa la ejecuci\u00f3n del c\u00f3digo PowerShell para decodificar y extraer los componentes de la siguiente etapa integrados en \u00e9l.<\/p>\n Esto incluye un documento se\u00f1uelo inofensivo, un documento de Microsoft Excel o un documento PDF, que se abre autom\u00e1ticamente, distrayendo al usuario mientras se escriben un archivo de configuraci\u00f3n (“d.exe.config”) y un archivo DLL malicioso (“DomainManager.dll”). el fondo de la carpeta de inicio de Windows.<\/p>\n Tambi\u00e9n se copia en la misma carpeta un ejecutable leg\u00edtimo llamado “dfsvc.exe” que est\u00e1 asociado con la tecnolog\u00eda ClickOnce en Microsoft .NET Framework. El archivo se copia como “d.exe”.<\/p>\n Lo que hace que la cadena de ataque se destaque es el uso de una t\u00e9cnica menos conocida llamada inyecci\u00f3n AppDomainManager para ejecutar DomainManager.dll cuando se inicia “d.exe” al inicio y el binario lee el archivo “d.exe.config” adjunto. ubicado en la misma carpeta de inicio.<\/p>\n Vale la pena se\u00f1alar que este enfoque tambi\u00e9n fue utilizado recientemente por el actor Earth Baxia, alineado con China, lo que indica que poco a poco est\u00e1 ganando terreno entre los actores de amenazas como una alternativa a la carga lateral de DLL.<\/p>\n El archivo DLL, por su parte, se comporta como un simple cargador para recuperar c\u00f3digo JavaScript de un servidor remoto, que, a su vez, llega a un servidor diferente para obtener la puerta trasera VeilShell.<\/p>\n VeilShell es un malware basado en PowerShell que est\u00e1 dise\u00f1ado para contactar a un servidor de comando y control (C2) para esperar m\u00e1s instrucciones que le permitan recopilar informaci\u00f3n sobre archivos, comprimir una carpeta espec\u00edfica en un archivo ZIP y cargarla nuevamente en el servidor C2. , descargue archivos desde una URL espec\u00edfica, cambie el nombre y elimine archivos, y extraiga archivos ZIP.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Hackers-norcoreanos-utilizan-la-nueva-puerta-trasera-VeilShell-en-ataques.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n