El actor de amenazas de espionaje cibern\u00e9tico rastreado como Kitsune de tierra<\/strong> se ha observado el despliegue de una nueva puerta trasera llamada BigoteEsp\u00eda<\/b> como parte de una campa\u00f1a de ingenier\u00eda social.<\/p>\n Se sabe que Earth Kitsune, activo desde al menos 2019, se dirige principalmente a personas interesadas en Corea del Norte con malware de desarrollo propio, como dneSpy y agfSpy. Las intrusiones previamente documentadas implicaron el uso de pozos de agua que aprovechan las vulnerabilidades del navegador en Google Chrome e Internet Explorer para activar la cadena de infecci\u00f3n.<\/p>\n El factor diferenciador en los \u00faltimos ataques es un cambio a la ingenier\u00eda social para enga\u00f1ar a los usuarios para que visiten sitios web comprometidos relacionados con Corea del Norte, seg\u00fan un nuevo informe de Trend Micro publicado la semana pasada.<\/p>\n La compa\u00f1\u00eda de seguridad cibern\u00e9tica dijo que el sitio web de una organizaci\u00f3n pro-norcoreana an\u00f3nima fue pirateado y modificado para distribuir el implante WhiskerSpy. El compromiso fue descubierto a finales del a\u00f1o pasado.<\/p>\n “Cuando un visitante objetivo intenta ver videos en el sitio web, un script malicioso inyectado por el atacante muestra un mensaje que notifica a las v\u00edctimas con un error de c\u00f3dec de video para tentarlos a descargar e instalar un instalador de c\u00f3dec troyano”, los investigadores Joseph C Chen y Jaromir Horejsi dicho<\/a>.<\/p>\n Se dice que el script con trampa explosiva se inyect\u00f3 en las p\u00e1ginas de video del sitio web, con el instalador (“Codec-AVC1.msi”) posteriormente empleado para cargar WhiskerSpy.<\/p>\n Pero el ataque tambi\u00e9n exhibe algunos trucos inteligentes en un intento de eludir la detecci\u00f3n. Esto implica entregar el script malicioso solo a aquellos visitantes cuyas direcciones IP coincidan con criterios espec\u00edficos:<\/p>\n Trend Micro se\u00f1al\u00f3 que las direcciones IP objetivo en Brasil pertenecen a un servicio VPN comercial y que el actor de amenazas puede haber “usado este servicio VPN para probar el despliegue de sus ataques de abrevadero”.<\/p>\n La persistencia se logra mediante abusando<\/a> una vulnerabilidad de secuestro de Dynamic Library Link (DLL) en OneDrive o a trav\u00e9s de una extensi\u00f3n maliciosa de Google Chrome que emplea API de mensajer\u00eda nativa<\/a> para ejecutar la carga \u00fatil cada vez que se inicia el navegador web.<\/p>\n La puerta trasera WhiskerSpy, al igual que otros programas maliciosos de este tipo, viene con capacidades para eliminar, enumerar, descargar y cargar archivos, tomar capturas de pantalla, inyectar shellcode, cargar ejecutables arbitrarios.<\/p>\n “Earth Kitsune domina sus habilidades t\u00e9cnicas y est\u00e1 continuamente desarrollando sus herramientas, t\u00e1cticas y procedimientos”, dijeron los investigadores.<\/p>\n Earth Kitsune no es el \u00fanico actor de amenazas que persigue objetivos japoneses, ya que la compa\u00f1\u00eda de ciberseguridad tambi\u00e9n detall\u00f3 otro conjunto de intrusiones con nombre en c\u00f3digo Tierra Yako<\/strong> llamativas organizaciones de investigaci\u00f3n y think tanks del pa\u00eds.<\/p>\n La actividad, observada recientemente en enero de 2023, es una continuaci\u00f3n de una campa\u00f1a conocida anteriormente denominada Operaci\u00f3n RestyLink<\/a>. Un subconjunto de los ataques tambi\u00e9n se dirigi\u00f3 a entidades ubicadas en Taiw\u00e1n.<\/p>\n\n
![\"Espionaje](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1676921133_1_El-grupo-de-ciberespionaje-Earth-Kitsune-despliega-la-puerta-trasera.png\" "\\"Espionaje")
<\/div>\nEarth Yako ataca sectores acad\u00e9micos y de investigaci\u00f3n en Jap\u00f3n<\/h3>\n