Se ha descubierto que los actores de amenazas aprovechan una nueva t\u00e9cnica que abusa de los atributos extendidos de los archivos de macOS para contrabandear un nuevo malware llamado RustyAttr<\/strong>.<\/p>\n La empresa de ciberseguridad de Singapur ha atribuido<\/a> la nueva actividad con confianza moderada al infame Grupo Lazarus vinculado a Corea del Norte, citando superposiciones t\u00e1cticas y de infraestructura observadas en relaci\u00f3n con campa\u00f1as anteriores, incluido RustBucket. <\/p>\n Los atributos extendidos se refieren a metadatos adicionales asociados con archivos y directorios que se pueden extraer usando un comando dedicado llamado xattr<\/a>. A menudo se utilizan para almacenar informaci\u00f3n que va m\u00e1s all\u00e1 de los atributos est\u00e1ndar, como el tama\u00f1o del archivo, las marcas de tiempo y los permisos.<\/p>\n Las aplicaciones maliciosas descubiertas por Group-IB se crean utilizando Tauro<\/a>un marco de aplicaci\u00f3n de escritorio multiplataforma, y \u200b\u200bfirmado con un certificado filtrado que desde entonces ha sido revocado por Apple. Incluyen un atributo extendido que est\u00e1 configurado para buscar y ejecutar un script de shell.<\/p>\n La ejecuci\u00f3n del script de shell tambi\u00e9n activa un se\u00f1uelo, que sirve como mecanismo de distracci\u00f3n al mostrar un mensaje de error “Esta aplicaci\u00f3n no es compatible con esta versi\u00f3n” o un documento PDF aparentemente inofensivo relacionado con el desarrollo y la financiaci\u00f3n de proyectos de juegos.<\/p>\n “Al ejecutar la aplicaci\u00f3n, la aplicaci\u00f3n Tauri intenta representar una p\u00e1gina web HTML usando WebView”, dijo el investigador de seguridad de Group-IB, Sharmine Low. “El [threat actor] Us\u00e9 alguna plantilla aleatoria extra\u00edda de Internet.”<\/p>\n Pero lo que tambi\u00e9n es notable es que estas p\u00e1ginas web est\u00e1n dise\u00f1adas para cargar JavaScript malicioso, que luego obtiene el contenido de los atributos extendidos y lo ejecuta mediante un backend de Rust. Dicho esto, la p\u00e1gina web falsa finalmente se muestra solo en los casos en los que no hay atributos extendidos.<\/p>\n El objetivo final de la campa\u00f1a sigue sin estar claro, especialmente a la luz del hecho de que no ha habido evidencia de m\u00e1s cargas \u00fatiles ni v\u00edctimas confirmadas.<\/p>\n “Afortunadamente, los sistemas macOS brindan cierto nivel de protecci\u00f3n para las muestras encontradas”, dijo Low. “Para desencadenar el ataque, los usuarios deben desactivar Gatekeeper anulando la protecci\u00f3n contra malware. Es probable que sea necesario cierto grado de interacci\u00f3n e ingenier\u00eda social para convencer a las v\u00edctimas de que sigan estos pasos”.<\/p>\n Este acontecimiento se produce mientras los actores de amenazas norcoreanos han estado participando en extensas campa\u00f1as que apuntan a posiciones remotas seguras<\/a> con empresas de todo el mundo, adem\u00e1s de enga\u00f1ar a los empleados actuales que trabajan en empresas de criptomonedas para que descarguen malware con el pretexto de codificar entrevistas.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/El-nuevo-malware-RustyAttr-se-dirige-a-macOS-mediante-el.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n