Se ha observado que el grupo de pirater\u00eda de estado naci\u00f3n de Corea del Norte conocido como Kimsuky realiza ataques de phishing de lanza para entregar un malware de robo de informaci\u00f3n llamado Forecopy, seg\u00fan Nuevos hallazgos<\/a> del Centro de Inteligencia de Seguridad AhnLab (ASEC).<\/p>\n Los ataques comienzan con correos electr\u00f3nicos de phishing que contienen un archivo de acceso directo de Windows (LNK) que est\u00e1 disfrazado de un documento de Microsoft Office o PDF.<\/p>\n La apertura de este archivo adjunto desencadena la ejecuci\u00f3n de PowerShell o mshta.exe, un binario de Microsoft leg\u00edtimo dise\u00f1ado para ejecutar archivos de aplicaci\u00f3n HTML (HTA), que son responsables de descargar y ejecutar cargas \u00fatiles de pr\u00f3xima etapa desde una fuente externa.<\/p>\n La compa\u00f1\u00eda de ciberseguridad de Corea del Sur dijo que los ataques culminaron en el despliegue de un troyano conocido doblado Pebbledash y una versi\u00f3n personalizada de una utilidad de escritorio remota de c\u00f3digo abierto nombrada Envoltura de RDP<\/a>.<\/p>\n Tambi\u00e9n se entrega como parte de los ataques un malware proxy que permite a los actores de amenaza establecer comunicaciones persistentes con una red externa a trav\u00e9s de RDP.<\/p>\n Adem\u00e1s, se ha observado a Kimsuky utilizando un Keylogger basado en PowerShell para grabar teclas de teclas y una nueva ForCecopy con nombre en c\u00f3digo de Malware que se usa para copiar archivos almacenados en directorios relacionados con el navegador web.<\/p>\n “Todas las rutas donde est\u00e1 instalada el malware son rutas de instalaci\u00f3n del navegador web”, dijo ASEC. “Se supone que el actor de amenaza est\u00e1 intentando evitar las restricciones en un entorno espec\u00edfico y robar los archivos de configuraci\u00f3n de los navegadores web donde se almacenan las credenciales”.<\/p>\n El uso de herramientas RDP Wrapper y proxies a Commandoer Infected Hosts apunta al cambio t\u00e1ctico para Kimsuky, que hist\u00f3ricamente ha aprovechado las puertas traseras a medida para este prop\u00f3sito.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Kimsuky-norcoreano-usa-malware-forCecopy-para-robar-credenciales-al-navegador.png\")
<\/a><\/center><\/div>\n