Al actor de amenazas norcoreano conocido como Lazarus Group se le ha atribuido la explotaci\u00f3n de d\u00eda cero de una falla de seguridad ahora parcheada en Google Chrome para tomar el control de los dispositivos infectados.<\/p>\n
El proveedor de ciberseguridad Kaspersky dijo que descubri\u00f3 una nueva cadena de ataque en mayo de 2024 que ten\u00eda como objetivo la computadora personal de un ciudadano ruso an\u00f3nimo con la puerta trasera Manuscrypt.<\/p>\n
Esto implica activar el exploit de d\u00eda cero simplemente al visitar un sitio web de juego falso (“detankzone[.]com”) que estaba dirigido a personas del sector de las criptomonedas. Se estima que la campa\u00f1a comenz\u00f3 en febrero de 2024.<\/p>\n
“En la superficie, este sitio web se parec\u00eda a una p\u00e1gina de producto dise\u00f1ada profesionalmente para un juego de tanques de campo de batalla en l\u00ednea (MOBA) multijugador basado en NFT (token no fungible) de finanzas descentralizadas (DeFi), que invitaba a los usuarios a descargar una versi\u00f3n de prueba”, investigadores de Kaspersky. Boris Larin y Vasili Berdnikov dicho<\/a>.<\/p>\n “Pero eso era s\u00f3lo un disfraz. Bajo el cap\u00f3, este sitio web ten\u00eda un script oculto que se ejecutaba en el navegador Google Chrome del usuario, lanzando un exploit de d\u00eda cero y dando a los atacantes control total sobre la PC de la v\u00edctima”.<\/p>\n La vulnerabilidad en cuesti\u00f3n es CVE-2024-4947, un error de confusi\u00f3n de tipos en el motor V8 JavaScript y WebAssembly que Google parch\u00f3 a mediados de mayo de 2024.<\/p>\n El uso de un juego de tanques malicioso (DeTankWar, \u200b\u200bDeFiTankWar, \u200b\u200bDeTankZone o TankWarsZone) como conducto para distribuir malware es una t\u00e1ctica que Microsoft ha atribuido a otro grupo de actividades de amenazas de Corea del Norte denominado Moonstone Sleet.<\/p>\n Estos ataques se llevan a cabo acerc\u00e1ndose a posibles objetivos a trav\u00e9s de correo electr\u00f3nico o plataformas de mensajer\u00eda, enga\u00f1\u00e1ndolos para que instalen el juego haci\u00e9ndose pasar por una empresa de blockchain o un desarrollador de juegos que busca oportunidades de inversi\u00f3n.<\/p>\n Los \u00faltimos hallazgos de Kaspersky a\u00f1aden otra pieza al rompecabezas del ataque, destacando el papel desempe\u00f1ado por el exploit de d\u00eda cero en la campa\u00f1a.<\/p>\n Espec\u00edficamente, el exploit contiene c\u00f3digo para dos vulnerabilidades: la primera se usa para otorgar a los atacantes acceso de lectura y escritura a todo el espacio de direcciones del proceso de Chrome desde JavaScript (CVE-2024-4947), y se abusa de la segunda para sortear el Caja de arena V8.<\/p>\n “El [second] La vulnerabilidad es que la m\u00e1quina virtual tiene un n\u00famero fijo de registros y una matriz dedicada para almacenarlos, pero los \u00edndices de registros se decodifican de los cuerpos de instrucciones y no se verifican”, explicaron los investigadores. “Esto permite a los atacantes acceder a la memoria fuera del l\u00edmites de la matriz de registros.”<\/p>\n La derivaci\u00f3n de la zona de pruebas V8 fue parcheado<\/a> por Google en marzo de 2024 luego de un informe de error presentado el 20 de marzo de 2024. Dicho esto, actualmente no se sabe si los atacantes lo descubrieron antes y lo utilizaron como arma como un d\u00eda cero, o si fue explotado como un d\u00eda N. vulnerabilidad.<\/p>\n A la explotaci\u00f3n exitosa le sigue el actor de la amenaza que ejecuta un validador que toma la forma de un c\u00f3digo shell responsable de recopilar informaci\u00f3n del sistema, que luego se utiliza para determinar si la m\u00e1quina es lo suficientemente valiosa como para llevar a cabo m\u00e1s acciones posteriores a la explotaci\u00f3n. Actualmente se desconoce la carga \u00fatil exacta entregada despu\u00e9s de esta etapa.<\/p>\n “Lo que nunca deja de impresionarnos es cu\u00e1nto esfuerzo pone Lazarus APT en sus campa\u00f1as de ingenier\u00eda social”, dijo la compa\u00f1\u00eda rusa, se\u00f1alando el patr\u00f3n del actor de amenazas de contactar a figuras influyentes en el espacio de las criptomonedas para ayudarlos a promocionar su sitio web malicioso.<\/p>\n “Durante varios meses, los atacantes estuvieron construyendo su presencia en las redes sociales, haciendo publicaciones peri\u00f3dicas en X (anteriormente Twitter) desde m\u00faltiples cuentas y promocionando su juego con contenido producido por IA generativa y dise\u00f1adores gr\u00e1ficos”.<\/p>\n La actividad del atacante se ha observado en X y LinkedIn, sin mencionar los sitios web especialmente dise\u00f1ados y los mensajes de correo electr\u00f3nico enviados a objetivos de inter\u00e9s.<\/p>\n El sitio web tambi\u00e9n est\u00e1 dise\u00f1ado para atraer a los visitantes a descargar un archivo ZIP (“detankzone.zip”) que, una vez lanzado, es un juego descargable completamente funcional que requiere el registro del jugador, pero que tambi\u00e9n contiene un c\u00f3digo para iniciar un cargador personalizado con el nombre en c\u00f3digo YouieLoad, como anteriormente. detallado por Microsoft.<\/p>\n Es m\u00e1s, se cree que el Grupo Lazarus rob\u00f3 el c\u00f3digo fuente del juego de un juego leg\u00edtimo de blockchain de juego para ganar (P2E) llamado DeFiTankTierra<\/a> (DFTL), que sufri\u00f3 un truco propio<\/a> en marzo de 2024, lo que provoc\u00f3 el robo de monedas DFTL2 por valor de 20.000 d\u00f3lares.<\/p>\n Aunque los desarrolladores del proyecto culparon a una persona interna por la violaci\u00f3n, Kaspersky sospecha que el Grupo Lazarus estuvo detr\u00e1s de esto y que robaron el c\u00f3digo fuente del juego junto con las monedas DFTL2 y lo reutilizaron para avanzar en sus objetivos.<\/p>\n “Lazarus es uno de los actores APT m\u00e1s activos y sofisticados, y el beneficio econ\u00f3mico sigue siendo una de sus principales motivaciones”, dijeron los investigadores.<\/p>\n “Las t\u00e1cticas de los atacantes est\u00e1n evolucionando y constantemente idean nuevos y complejos esquemas de ingenier\u00eda social. Lazarus ya ha comenzado a utilizar con \u00e9xito la IA generativa, y predecimos que idear\u00e1n ataques a\u00fan m\u00e1s elaborados us\u00e1ndola”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Lazarus-Group-aprovecha-la-vulnerabilidad-de-Google-Chrome-para-controlar.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n