Se ha observado que piratas inform\u00e1ticos vinculados al gobierno de Corea del Norte utilizan una versi\u00f3n actualizada de una puerta trasera conocida como Dtrack dirigida a una amplia gama de industrias en Alemania, Brasil, India, Italia, M\u00e9xico, Suiza, Arabia Saudita, Turqu\u00eda y EE. UU.<\/p>\n
“Dtrack permite que los delincuentes carguen, descarguen, inicien o eliminen archivos en el host de la v\u00edctima”, los investigadores de Kaspersky Konstantin Zykov y Jornt van der Wiel dijo<\/a> en un informe<\/p>\n Los patrones de victimolog\u00eda indican una expansi\u00f3n a Europa y Am\u00e9rica Latina. Los sectores a los que se dirige el malware son la educaci\u00f3n, la fabricaci\u00f3n de productos qu\u00edmicos, los centros de investigaci\u00f3n gubernamentales y los institutos de pol\u00edticas, los proveedores de servicios de TI, los proveedores de servicios p\u00fablicos y las empresas de telecomunicaciones.<\/p>\n Dtrack, tambi\u00e9n llamado Valefor y Preft, es obra de Andariel, un subgrupo de la Lazarus actor de amenazas del estado-naci\u00f3n<\/a> eso es rastreado p\u00fablicamente por la comunidad de ciberseguridad en general utilizando los apodos Operation Troy, Silent Chollima y Stonefly.<\/p>\n Descubierto en septiembre de 2019, el malware se implement\u00f3 previamente en un ataque cibern\u00e9tico dirigido a una planta de energ\u00eda nuclear en India, con intrusiones m\u00e1s recientes usando Dtrack como parte de los ataques de ransomware de Maui.<\/p>\n Desde entonces, la empresa de ciberseguridad industrial Dragos ha atribuido el ataque a la instalaci\u00f3n nuclear a un actor de amenazas al que llama Wassonita<\/a>se\u00f1alando el uso de Dtrack para el acceso remoto a la red comprometida.<\/p>\n Los \u00faltimos cambios observados por Kaspersky se relacionan con la forma en que el implante oculta su presencia dentro de un programa aparentemente leg\u00edtimo (“NvContainer.exe<\/a>” o “XColorHexagonCtrlTest.exe<\/a>“) y el uso de tres capas de encriptaci\u00f3n y ofuscaci\u00f3n dise\u00f1adas para dificultar el an\u00e1lisis.<\/p>\n La carga \u00fatil final, luego del descifrado, se inyecta posteriormente en el proceso del Explorador de archivos de Windows (“explorer.exe”) utilizando una t\u00e9cnica llamada proceso de vaciado<\/a>. El principal de los m\u00f3dulos descargados a trav\u00e9s de Dtrack es un registrador de teclas, as\u00ed como herramientas para capturar capturas de pantalla y recopilar informaci\u00f3n del sistema.<\/p>\n “La puerta trasera Dtrack sigue siendo utilizada activamente por el grupo Lazarus”, concluyeron los investigadores. “Las modificaciones en la forma en que se empaqueta el malware muestran que Lazarus todav\u00eda ve a Dtrack como un activo importante”.<\/p>\n <\/p>\n<\/div>\n