Se dice que el actor de amenaza vinculado a Corea del Norte conocido como escorruador estaba detr\u00e1s de una herramienta de vigilancia de Android nunca antes vista llamada Kospy<\/strong> dirigido a usuarios coreanos e ingleses.<\/p>\n Lookout, que comparti\u00f3 detalles de la campa\u00f1a de malware, dijo que las primeras versiones se remontan a marzo de 2022. Las muestras m\u00e1s recientes fueron marcadas en marzo de 2024. No est\u00e1 claro qu\u00e9 tan exitosos fueron estos esfuerzos.<\/p>\n “Kospy puede recopilar datos extensos, como mensajes SMS, registros de llamadas, ubicaci\u00f3n, archivos, audio y capturas de pantalla a trav\u00e9s de complementos cargados din\u00e1micamente”, la compa\u00f1\u00eda dicho<\/a> en un an\u00e1lisis.<\/p>\n Los artefactos maliciosos se basan en aplicaciones de servicios p\u00fablicos en la tienda oficial de Google Play, utilizando el administrador de archivos de nombres, el administrador de tel\u00e9fonos, el administrador inteligente, la utilidad de actualizaci\u00f3n de software y la seguridad de Kakao para enga\u00f1ar a los usuarios desprevenidos para que infecten sus propios dispositivos.<\/p>\n Todas las aplicaciones identificadas ofrecen la funcionalidad prometida para evitar elevar sospechas mientras implementan sigilosamente componentes relacionados con el spyware en segundo plano. Desde entonces, las aplicaciones han sido eliminadas del mercado de aplicaciones.<\/p>\n Scarcruft, tambi\u00e9n llamado APT27 y Reaper, es un grupo cibern\u00e9tico de espionaje patrocinado por el estado de Corea del Norte activo desde 2012. Los cadenas de ataque orquestados por el grupo aprovechan principalmente a Rokrat como un medio para Cosecha datos confidenciales<\/a> de los sistemas de Windows. Rokrat se ha adaptado desde entonces a MacOS y Android de Target. <\/p>\n Las aplicaciones de Android maliciosas, una vez instaladas, est\u00e1n dise\u00f1adas para contactar a una base de datos de la nube Firebase Firestore para recuperar una configuraci\u00f3n que contiene la direcci\u00f3n del servidor de comando y control (C2) real.<\/p>\n Mediante el uso de un servicio leg\u00edtimo como Firestore como Resolver de ca\u00edda muerta<\/a>el enfoque C2 de dos etapas ofrece flexibilidad y resistencia, lo que permite al actor de amenaza cambiar la direcci\u00f3n C2 en cualquier momento y operar sin ser detectados.<\/p>\n “Despu\u00e9s de recuperar la direcci\u00f3n C2, Kospy asegura que el dispositivo no sea un emulador y que la fecha actual haya pasado la fecha de activaci\u00f3n codificada”, dijo Lookout. “Esta verificaci\u00f3n de fecha de activaci\u00f3n asegura que el spyware no revele su intenci\u00f3n maliciosa prematuramente”.<\/p>\n Kospy es capaz de descargar complementos adicionales, as\u00ed como configuraciones para cumplir con sus objetivos de vigilancia. La naturaleza exacta del complemento sigue siendo desconocida ya que los servidores C2 ya no est\u00e1n activos o no responden a las solicitudes del cliente.<\/p>\n El malware est\u00e1 dise\u00f1ado para recopilar una amplia gama de datos del dispositivo comprometido, incluidos mensajes SMS, registros de llamadas, ubicaci\u00f3n del dispositivo, archivos en almacenamiento local, capturas de pantalla, pulsaciones de teclas, informaci\u00f3n de red Wi-Fi y la lista de aplicaciones instaladas. Tambi\u00e9n est\u00e1 equipado para grabar audio y tomar fotos.<\/p>\n Lookout dijo que identific\u00f3 las superposiciones de infraestructura entre la campa\u00f1a de Kospy y las previamente vinculadas a otro grupo de pirater\u00eda norcoreano llamado Kimsuky (tambi\u00e9n conocido como APT43).<\/p>\n La divulgaci\u00f3n se produce cuando Socket descubri\u00f3 un conjunto de seis paquetes de NPM que est\u00e1n dise\u00f1ados para implementar un malware conocido de robo de informaci\u00f3n llamado Beaverail, que est\u00e1 vinculado a una campa\u00f1a de Corea del Norte en curso rastreada como una entrevista contagiosa. La lista de paquetes ahora recogidos est\u00e1 a continuaci\u00f3n –<\/p>\n Los paquetes est\u00e1n dise\u00f1ados para recopilar detalles del entorno del sistema, as\u00ed como credenciales almacenadas en navegadores web como Google Chrome, Brave y Mozilla Firefox. Tambi\u00e9n se dirige a las billeteras de criptomonedas, extrayendo Id.json de Solana y Exodus.wallet de Exodus. <\/p>\n “Los seis paquetes nuevos, descargados colectivamente m\u00e1s de 330 veces, imitan de cerca los nombres de bibliotecas ampliamente confiables, empleando una conocida t\u00e1ctica tipogr\u00e1fica utilizada por los actores de amenaza vinculados a L\u00e1zaro para enga\u00f1ar a los desarrolladores”, el investigador de socket Kirill Boychenko dicho<\/a>.<\/p>\n “Adem\u00e1s, el grupo APT cre\u00f3 y mantuvo repositorios de GitHub para cinco de los paquetes maliciosos, prestando una apariencia de legitimidad de c\u00f3digo abierto y aumentando la probabilidad de que el c\u00f3digo nocivo se integre en los flujos de trabajo de los desarrolladores”.<\/p>\n Los hallazgos tambi\u00e9n siguen el descubrimiento de una nueva campa\u00f1a que se ha encontrado dirigida al sector de criptomonedas con un malware MacOS basado en \u00f3xido llamado Rustdoor (tambi\u00e9n conocido como Thiefbucket) y una variante de macOS previamente indocumentada de una familia de malware conocida como Koi Stealer.<\/p>\n Palo Alto Networks Unit 42 dijo que las caracter\u00edsticas de los atacantes tienen similitudes con la entrevista contagiosa, y que est\u00e1 evaluando con confianza media que la actividad se llev\u00f3 a cabo en nombre del r\u00e9gimen de Corea del Norte.<\/p>\n Espec\u00edficamente, la cadena de ataque implica el uso de un proyecto de entrevista de trabajo falso que, cuando se ejecuta a trav\u00e9s de Microsoft Visual Studio, intenta descargar y ejecutar Rustdoor. El malware luego procede a robar contrase\u00f1as de la extensi\u00f3n de Google Chrome de LastPass, exfiltrate los datos a un servidor externo y descargue dos scripts bash adicionales para abrir un shell inverso.<\/p>\n La etapa final de la infecci\u00f3n implica la recuperaci\u00f3n y ejecuci\u00f3n de otra carga \u00fatil, una versi\u00f3n de MacOS de Koi Stealer que se hace pasar por Visual Studio a enga\u00f1ar a las v\u00edctimas para que ingresen la contrase\u00f1a de su sistema, lo que le permite reunir y exfiltrar datos de la m\u00e1quina.<\/p>\n “Esta campa\u00f1a destaca los riesgos que se enfrentan las organizaciones en todo el mundo de los elaborados ataques de ingenier\u00eda social dise\u00f1ados para infiltrarse en redes y robar datos confidenciales y criptomonedas”, los investigadores de seguridad Adva Gabay y Daniel Frank dicho<\/a>. “Estos riesgos se magnifican cuando el perpetrador es un actor de amenaza de estado-naci\u00f3n, en comparaci\u00f3n con un cibercrimen de motivaci\u00f3n puramente financiera”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/El-escorruador-de-Corea-del-Norte-despliega-malware-Kospy-espiando.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\nLa entrevista contagiosa se manifiesta como paquetes NPM<\/h2>\n
\n
La campa\u00f1a de Corea del Norte utiliza Rustdoor y Koi Stealer<\/h2>\n
<\/a><\/center><\/div>\n<\/a><\/div>\n