Se ha observado que el actor de amenazas iran\u00ed conocido como TA455 sigue el manual de un grupo de hackers norcoreano para orquestar su propia versi\u00f3n de la campa\u00f1a Dream Job dirigida a la industria aeroespacial ofreciendo trabajos falsos desde al menos septiembre de 2023.<\/p>\n
“La campa\u00f1a distribuy\u00f3 el malware SnailResin, que activa la puerta trasera SlugResin”, dijo la empresa israel\u00ed de ciberseguridad ClearSky. dicho<\/a> en un an\u00e1lisis del martes.<\/p>\n TA455, tambi\u00e9n rastreado por Mandiant, propiedad de Google, como UNC1549 y Yellow Dev 13, se considera un subgrupo dentro de APT35, conocido con los nombres CALANQUE, Charming Kitten, CharmingCypress, ITG18, Mint Sandstorm (anteriormente Phosphorus), Newscaster. , TA453 y Garuda Amarillo.<\/p>\n Afiliado al Cuerpo de la Guardia Revolucionaria Isl\u00e1mica de Ir\u00e1n (IRGC), se dice que el grupo comparte superposiciones t\u00e1cticas con grupos denominados Smoke Sandstorm (anteriormente Bohrium) y Crimson Sandstorm (anteriormente Curium).<\/p>\n A principios de febrero, se atribuy\u00f3 al colectivo adversario estar detr\u00e1s de una serie de campa\u00f1as muy espec\u00edficas dirigidas a las industrias aeroespacial, de aviaci\u00f3n y de defensa en el Medio Oriente, incluidos Israel, los Emiratos \u00c1rabes Unidos, Turqu\u00eda, India y Albania.<\/p>\n Los ataques implican el uso de t\u00e1cticas de ingenier\u00eda social que emplean se\u00f1uelos relacionados con el trabajo para generar dos puertas traseras denominadas MINIBIKE y MINIBUS. Empresa de seguridad empresarial Proofpoint dicho<\/a> Tambi\u00e9n ha observado que “TA455 utiliza empresas fachada para interactuar profesionalmente con objetivos de inter\u00e9s a trav\u00e9s de una p\u00e1gina Cont\u00e1ctenos o una solicitud de ventas”.<\/p>\n Dicho esto, esta no es la primera vez que el actor de amenazas aprovecha se\u00f1uelos con temas laborales en sus campa\u00f1as de ataque. En su informe “Amenazas cibern\u00e9ticas 2022: un a\u00f1o en retrospectiva”, PwC dijo que detect\u00f3 una actividad motivada por espionaje realizada por TA455, en la que los atacantes se hicieron pasar por reclutadores de empresas reales o ficticias en varias plataformas de redes sociales.<\/p>\n “Yellow Dev 13 utiliz\u00f3 una variedad de fotograf\u00edas generadas por inteligencia artificial (IA) para sus personajes y se hizo pasar por al menos un individuo real para sus operaciones”, dijo la compa\u00f1\u00eda. anotado<\/a>.<\/p>\n ClearSky dijo que identific\u00f3 varias similitudes entre las dos campa\u00f1as Dream Job realizadas por Lazarus Group y TA455, incluido el uso de se\u00f1uelos de oportunidades laborales y carga lateral de DLL para implementar malware.<\/p>\n Esto ha planteado la posibilidad de que este \u00faltimo est\u00e9 copiando deliberadamente el arte del grupo de hackers norcoreano para confundir los esfuerzos de atribuci\u00f3n, o que exista alg\u00fan tipo de intercambio de herramientas.<\/p>\n Las cadenas de ataque utilizan sitios web de contrataci\u00f3n falsos (“careers2find[.]com”) y perfiles de LinkedIn para distribuir un archivo ZIP que, entre otros archivos, contiene un ejecutable (“SignedConnection.exe”) y un archivo DLL malicioso (“secur32.dll”) que se descarga cuando se ejecuta el archivo EXE.<\/p>\n Seg\u00fan Microsoft, secur32.dll es un cargador de troyanos llamado CaracolResina<\/a> que es responsable de cargar BabosaResina<\/a>una versi\u00f3n actualizada del rompebajos<\/a> puerta trasera que otorga acceso remoto a una m\u00e1quina comprometida, lo que permite efectivamente a los actores de amenazas implementar malware adicional, robar credenciales, escalar privilegios y moverse lateralmente a otros dispositivos en la red.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/Uso-de-los-piratas-informaticos-iranies-quotTrabajo-de-ensuenoquot-Senuelos.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n