Un actor de amenaza de estado-naci\u00f3n con v\u00ednculos con Corea del Norte se ha relacionado con una campa\u00f1a en curso dirigida a los sectores de negocios, gobierno y criptomonedas de Corea del Sur.<\/p>\n
La campa\u00f1a de ataque, doblada Profundo#unidad<\/strong> Por Securonix, se ha atribuido a un grupo de pirater\u00eda conocido como Kimsuky, que tambi\u00e9n se rastrea bajo los nombres Apt43, Black Banshee, Emerald Ship, Sparkling Piscis, Springtail, Ta427 y Velvet Chollima.<\/p>\n “Aprovechando los se\u00f1uelos de phishing a medida escritos en coreano y disfrazados como documentos leg\u00edtimos, los atacantes se infiltraron con \u00e9xito entornos espec\u00edficos”, los investigadores de seguridad den iuzvyk y Tim Peck dicho<\/a> En un informe compartido con The Hacker News, describiendo la actividad como una “operaci\u00f3n sofisticada y de varias etapas”.<\/p>\n Los documentos Decoy, enviados a trav\u00e9s de correos electr\u00f3nicos de phishing como archivos .hwp, .xlsx y .pptx, se disfrazan de registros de trabajo, documentos de seguro y archivos relacionados con cripto para enga\u00f1ar a los destinatarios para que los abran, lo que desencadena el proceso de infecci\u00f3n.<\/p>\n La cadena de ataque es notable por su gran dependencia de los scripts de PowerShell en varias etapas, incluida la entrega de carga \u00fatil, el reconocimiento y la ejecuci\u00f3n. Tambi\u00e9n se caracteriza por el uso de Dropbox para la distribuci\u00f3n de la carga \u00fatil y la exfiltraci\u00f3n de datos.<\/p>\n Todo comienza con un archivo ZIP que contiene un solo archivo de acceso directo de Windows (.lnk) que se disfraza de un documento leg\u00edtimo, que, cuando se extrae y se lanz\u00f3, desencadena la ejecuci\u00f3n del c\u00f3digo PowerShell para recuperar y mostrar un documento de se\u00f1uelo alojado en Dropbox, mientras que sigilosamente Establecer persistencia en el host de Windows a trav\u00e9s de una tarea programada llamada “ChromeUpdatetaskmachine”.<\/p>\n Uno de esos documentos de se\u00f1uelo, escrito en coreano, se refiere a un plan de trabajo de seguridad para operaciones de montacargas en un centro de log\u00edstica, profundizando en el manejo seguro de carga pesada y describiendo formas de garantizar el cumplimiento de los est\u00e1ndares de seguridad en el lugar de trabajo.<\/p>\n El script PowerShell tambi\u00e9n est\u00e1 dise\u00f1ado para contactar la misma ubicaci\u00f3n de Dropbox para obtener otro script de PowerShell que es responsable de recopilar y exfiltrar informaci\u00f3n del sistema. Adem\u00e1s, deja caer un tercer script PowerShell que finalmente es responsable de ejecutar un ensamblaje de .NET desconocido.<\/p>\n “El uso de la autenticaci\u00f3n basada en token OAuth para las interacciones de la API de Dropbox permiti\u00f3 una exfiltraci\u00f3n perfecta de los datos de reconocimiento, como la informaci\u00f3n del sistema y los procesos activos, a las carpetas predeterminadas”, dijeron los investigadores.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/APT43-de-Corea-del-Norte-usa-PowerShell-y-Dropbox-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n