El ataque a la cadena de suministro dirigido a 3CX fue el resultado de un compromiso anterior de la cadena de suministro asociado con una empresa diferente, lo que demuestra un nuevo nivel de sofisticaci\u00f3n con los actores de amenazas de Corea del Norte.<\/p>\n
Mandiant, propiedad de Google, que est\u00e1 rastreando el evento de ataque bajo el nombre UNC4736<\/strong>, dicho<\/a> el incidente marca la primera vez que se ve un “ataque en la cadena de suministro de software que conduce a otro ataque en la cadena de suministro de software”.<\/p>\n El ataque en cascada estilo mu\u00f1eca Matryoshka contra 3CX sali\u00f3 a la luz por primera vez el 29 de marzo de 2023, cuando se supo que las versiones de Windows y macOS de su software de comunicaci\u00f3n fueron troyanizadas para entregar un minero de datos basado en C\/C++ llamado ICONIC Stealer por medio de un downloader, SUDDENICON, que utilizaba archivos de iconos alojados en GitHub para extraer el servidor que conten\u00eda al ladr\u00f3n.<\/p>\n “La aplicaci\u00f3n maliciosa luego intenta robar informaci\u00f3n confidencial del navegador web del usuario v\u00edctima”, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) dicho<\/a> en un an\u00e1lisis del malware. “Espec\u00edficamente, se dirigir\u00e1 a los navegadores Chrome, Edge, Brave o Firefox”.<\/p>\n Los ataques seleccionados dirigidos a empresas de criptomonedas tambi\u00e9n implicaron el despliegue de una puerta trasera de siguiente etapa denominada Gopuram que es capaz de ejecutar comandos adicionales e interactuar con el sistema de archivos de la v\u00edctima.<\/p>\n de Mandiant investigaci\u00f3n<\/a> En la secuencia de eventos ahora se ha revelado que el paciente cero es una versi\u00f3n maliciosa de un software ahora descontinuado proporcionado por una empresa fintech llamada Trading Technologies, que fue descargado por un empleado de 3CX a su computadora personal.<\/p>\n Describi\u00f3 el vector de intrusi\u00f3n inicial como “un paquete de software con malware distribuido a trav\u00e9s de un compromiso anterior de la cadena de suministro de software que comenz\u00f3 con un instalador manipulado para X_TRADER”.<\/p>\n Este instalador malicioso, a su vez, conten\u00eda un binario de instalaci\u00f3n que eliminaba dos archivos DLL con troyanos y un ejecutable inocuo, el \u00faltimo de los cuales se utiliza para descargar uno de los archivos DLL camuflado como una dependencia leg\u00edtima.<\/p>\n La cadena de ataque luego hizo uso de herramientas de c\u00f3digo abierto como SIGFLIP<\/a> y DAVESHELL<\/a> para finalmente extraer y ejecutar VEILEDSIGNAL, una puerta trasera modular de m\u00faltiples etapas escrita en C que es capaz de enviar datos, ejecutar shellcode y terminarse a s\u00ed misma.<\/p>\n El compromiso inicial de la computadora personal del empleado usando VEILEDSIGNAL permiti\u00f3 al actor de amenazas obtener las credenciales corporativas del individuo, dos despu\u00e9s de lo cual tuvo lugar el primer acceso no autorizado a su red a trav\u00e9s de una VPN aprovechando las credenciales robadas.<\/p>\n Adem\u00e1s de identificar similitudes t\u00e1cticas entre las aplicaciones comprometidas X_TRADER y 3CXDesktopApp, Mandiant descubri\u00f3 que el actor de amenazas posteriormente se movi\u00f3 lateralmente dentro del entorno 3CX y viol\u00f3 los entornos de construcci\u00f3n de Windows y macOS.<\/p>\n “En el entorno de compilaci\u00f3n de Windows, el atacante implement\u00f3 un lanzador TAXHAUL y un descargador COLDCAT que persisti\u00f3 al realizar la carga lateral de DLL a trav\u00e9s del servicio IKEEXT y se ejecut\u00f3 con privilegios de LocalSystem”, dijo Mandiant. “El servidor de compilaci\u00f3n macOS se comprometi\u00f3 con la puerta trasera POOLRAT usando Launch Daemons como mecanismo de persistencia”.<\/p>\n POOLRAT, previamente clasificado por la firma de inteligencia de amenazas como SIMPLESEA, es un implante macOS C\/C++ capaz de recopilar informaci\u00f3n b\u00e1sica del sistema y ejecutar comandos arbitrarios, incluida la realizaci\u00f3n de operaciones con archivos.<\/p>\n Se sospecha que UNC4736 es un grupo de amenazas con el nexo de Corea del Norte, una evaluaci\u00f3n que ha sido reforzada por el descubrimiento de ESET de un dominio de comando y control (C2) superpuesto (journalide[.]org) empleado en el ataque a la cadena de suministro y el de una campa\u00f1a de Lazarus Group llamada Operation Dream Job.<\/p>\n La evidencia recopilada por Mandiant muestra que el grupo exhibe puntos en com\u00fan con otro conjunto de intrusos rastreado como Operaci\u00f3n AppleJeus, que tiene un historial de llevar a cabo ataques por motivos financieros.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n Adem\u00e1s, se dice que la violaci\u00f3n del sitio web de Trading Technologies tuvo lugar a principios de febrero de 2022 al utilizar como arma una falla de d\u00eda cero en Google Chrome (CVE-2022-0609) para activar una cadena de infecci\u00f3n de m\u00faltiples etapas responsable de servir desconocido cargas \u00fatiles a los visitantes del sitio.<\/p>\n “El sitio www.tradingtechnologies[.]com estaba comprometido y alojaba un IFRAME oculto para explotar a los visitantes, solo dos meses antes de que se supiera que el sitio entregaba un paquete de software X_TRADER con troyanos”, explic\u00f3 Mandiant.<\/p>\n Otro v\u00ednculo que lo conecta con AppleJeus es el uso anterior por parte del actor de amenazas de una versi\u00f3n anterior de POOLRAT como parte de un campa\u00f1a de larga duraci\u00f3n<\/a> diseminando aplicaciones comerciales con trampas explosivas como CoinGoTrade<\/a> para facilitar el robo de criptomonedas.<\/p>\n La escala completa de la campa\u00f1a sigue siendo desconocida, y actualmente no est\u00e1 claro si el software X_TRADER comprometido fue utilizado por otras empresas. Supuestamente, la plataforma se desmantel\u00f3 en abril de 2020, pero a\u00fan estaba disponible para descargar desde el sitio en 2022.<\/p>\n![\"Ataque](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/1682110060_541_Los-piratas-informaticos-de-NK-emplean-un-ataque-de-cadena.png\" "\\"Ataque")
<\/div>\n