{"id":1437856,"date":"2024-11-12T21:10:52","date_gmt":"2024-11-12T21:10:52","guid":{"rendered":"https:\/\/teknomers.com\/es\/los-piratas-informaticos-norcoreanos-atacan-macos-utilizando-malware-integrado-en-flutter\/"},"modified":"2024-11-12T21:11:03","modified_gmt":"2024-11-12T21:11:03","slug":"los-piratas-informaticos-norcoreanos-atacan-macos-utilizando-malware-integrado-en-flutter","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/los-piratas-informaticos-norcoreanos-atacan-macos-utilizando-malware-integrado-en-flutter\/","title":{"rendered":"Los piratas inform\u00e1ticos norcoreanos atacan macOS utilizando malware integrado en Flutter"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>12 de noviembre de 2024<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Malware\/Seguridad de aplicaciones<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Se ha descubierto que los actores de amenazas con v\u00ednculos con la Rep\u00fablica Popular Democr\u00e1tica de Corea (RPDC, tambi\u00e9n conocida como Corea del Norte) incorporan malware en las aplicaciones Flutter, lo que marca la primera vez que el adversario adopta esta t\u00e1ctica para infectar dispositivos Apple macOS.<\/p>\n

Jamf Threat Labs, que hizo el descubrimiento bas\u00e1ndose en artefactos cargados en la plataforma VirusTotal a principios de este mes, dijo que las aplicaciones creadas por Flutter son parte de una actividad m\u00e1s amplia que incluye malware escrito en Golang y Python.<\/p>\n

Actualmente no se sabe c\u00f3mo se distribuyen estas muestras a las v\u00edctimas, ni si se han utilizado contra alg\u00fan objetivo o si los atacantes est\u00e1n cambiando a un nuevo m\u00e9todo de entrega. Dicho esto, se sabe que los actores de amenazas norcoreanos participan en amplios esfuerzos de ingenier\u00eda social dirigidos a empleados de empresas de criptomonedas y finanzas descentralizadas.<\/p>\n

\"Ciberseguridad\"<\/a><\/center><\/div>\n

“Sospechamos que estos ejemplos espec\u00edficos son pruebas”, dijo a The Hacker News Jaron Bradley, director de Jamf Threat Labs. “Es posible que a\u00fan no hayan sido distribuidos. Es dif\u00edcil saberlo. Pero s\u00ed. Las t\u00e9cnicas de ingenier\u00eda social del atacante han funcionado muy bien en el pasado y sospechamos que continuar\u00edan usando estas t\u00e9cnicas”.<\/p>\n

Jamf no ha atribuido la actividad maliciosa a un grupo de hackers espec\u00edfico vinculado a Corea del Norte, aunque dijo que probablemente podr\u00eda ser el trabajo de un subgrupo de Lazarus conocido como BlueNoroff. Esta conexi\u00f3n surge de las superposiciones de infraestructura con el malware denominado KANDYKORN y la campa\u00f1a Hidden Risk destacada recientemente por Sentinel One.<\/p>\n

Lo que hace que el nuevo malware se destaque es el uso de la aplicaci\u00f3n Flutter, un marco de desarrollo de aplicaciones multiplataforma, para incorporar la carga principal escrita en Dart, mientras se hace pasar por un juego Buscaminas completamente funcional. La aplicaci\u00f3n se llama “Nuevas actualizaciones en Crypto Exchange (28\/08\/2024)”.<\/p>\n

\"Software<\/a><\/div>\n

Es m\u00e1s, el juego parece ser un clon de un juego b\u00e1sico de Flutter para iOS que es disponible p\u00fablicamente<\/a> en GitHub. Vale la pena se\u00f1alar que el uso de se\u00f1uelos con temas de juegos tambi\u00e9n se ha observado en conjunto con otro grupo de pirater\u00eda norcoreano rastreado como Moonstone Sleet.<\/p>\n

Estas aplicaciones tambi\u00e9n han sido firmadas y certificadas ante notario utilizando los ID de desarrollador de Apple BALTIMORE JEWISH COUNCIL, INC. (3AKYHFR584) y FAIRBANKS CURLING CLUB INC. (6W69GC943U), lo que sugiere que los actores de amenazas pueden eludir el proceso de certificaci\u00f3n notarial de Apple. Desde entonces, Apple ha revocado las firmas.<\/p>\n

Una vez iniciado, el malware env\u00eda una solicitud de red a un servidor remoto (“mbupdate.linkpc[.]net”) y est\u00e1 configurado para ejecutar el c\u00f3digo AppleScript recibido del servidor, pero no antes de que se escriba al rev\u00e9s.<\/p>\n

\"Ciberseguridad\"<\/a><\/center><\/div>\n

Jamf dijo que tambi\u00e9n identific\u00f3 variantes del malware escrito en Go y Python, este \u00faltimo construido con Py2App. Las aplicaciones, denominadas NewEra para Stablecoins y DeFi, CeFi (Protected).app y Runner.app, est\u00e1n equipadas con capacidades similares para ejecutar cualquier carga \u00fatil de AppleScript recibida en la respuesta HTTP del servidor.<\/p>\n

El \u00faltimo acontecimiento es una se\u00f1al de que los actores de amenazas de la RPDC est\u00e1n desarrollando activamente malware utilizando varios lenguajes de programaci\u00f3n para infiltrarse en empresas de criptomonedas.<\/p>\n

“El malware descubierto por el actor en los \u00faltimos a\u00f1os viene en muchas variantes diferentes con iteraciones actualizadas con frecuencia”, dijo Bradley. “Sospechamos que esto es en un esfuerzo por pasar desapercibido y mantener el malware con un aspecto diferente en cada versi\u00f3n. En el caso del lenguaje Dart, sospechamos que se debe a que los actores descubrieron que las aplicaciones Flutter generan una gran oscuridad debido a su arquitectura de aplicaci\u00f3n una vez compiladas”.<\/p>\n

<\/p>\n

\u00bfEncontr\u00f3 interesante este art\u00edculo? S\u00edguenos en Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n