El actor de amenazas norcoreano conocido como ScarCruft<\/strong> comenz\u00f3 a experimentar con archivos LNK de gran tama\u00f1o como ruta de entrega para el malware RokRAT en julio de 2022, el mismo mes en que Microsoft comenz\u00f3 a bloquear las macros en los documentos de Office de forma predeterminada.<\/p>\n “RokRAT no ha cambiado significativamente a lo largo de los a\u00f1os, pero sus m\u00e9todos de implementaci\u00f3n han evolucionado, ahora utiliza archivos que contienen archivos LNK que inician cadenas de infecci\u00f3n de varias etapas”, Check Point dicho<\/a> en un nuevo informe t\u00e9cnico.<\/p>\n “Esta es otra representaci\u00f3n de una tendencia importante en el panorama de amenazas, donde tanto las APT como los ciberdelincuentes intentan superar el bloqueo de macros de fuentes no confiables”.<\/p>\n ScarCruft, tambi\u00e9n conocido por los nombres APT37, InkySquid, Nickel Foxcroft, Reaper, RedEyes y Ricochet Chollima, es un grupo de amenazas que se dirige casi exclusivamente a personas y entidades de Corea del Sur como parte de ataques de phishing dirigidos dise\u00f1ados para ofrecer una variedad de herramientas personalizadas. .<\/p>\n El colectivo adversario, a diferencia del Grupo Lazarus o Kimsuky, es supervisado<\/a> por el Ministerio de Seguridad del Estado de Corea del Norte (SMS<\/a>), que se encarga de las actividades de contraespionaje nacional y contrainteligencia en el extranjero, seg\u00fan Mandiant.<\/p>\n El principal malware elegido por el grupo es RokRAT<\/a> (tambi\u00e9n conocido como DOGCALL), que desde entonces se ha adaptado a otras plataformas como macOS (CloudMensis) y Android (RambleOn), lo que indica que la puerta trasera se est\u00e1 desarrollando y manteniendo activamente.<\/p>\n RokRAT y sus variantes est\u00e1n equipados para llevar a cabo una amplia gama de actividades como robo de credenciales, exfiltraci\u00f3n de datos, captura de pantalla, recopilaci\u00f3n de informaci\u00f3n del sistema, ejecuci\u00f3n de comandos y shellcode, y gesti\u00f3n de archivos y directorios.<\/p>\n La informaci\u00f3n recopilada, parte de la cual se almacena en forma de archivos MP3 para cubrir sus huellas, se devuelve mediante servicios en la nube como Dropbox, Microsoft OneDrive, pCloud y Yandex Cloud en un intento por disfrazar el comando y control (C2 ) comunicaciones como leg\u00edtimas.<\/p>\n Otro malware personalizado utilizado por el grupo incluye, entre otros, Chinotto, BLUELIGHT, GOLDBACKDOOR, Dolphin y, m\u00e1s recientemente, M2RAT. Tambi\u00e9n se sabe que utiliza malware b\u00e1sico como Amadey, un descargador que puede recibir comandos del atacante para descargar cargas \u00fatiles adicionales, en un intento por confundir la atribuci\u00f3n.<\/p>\n El Centro de Respuesta a Emergencias de Seguridad (ASEC) de AhnLab tambi\u00e9n destac\u00f3 el uso de archivos LNK como se\u00f1uelos para activar las secuencias de infecci\u00f3n la semana pasada, con los archivos que contienen comandos de PowerShell que implementan el malware RokRAT.<\/p>\n Si bien el cambio en el modus operandi se\u00f1ala los esfuerzos de ScarCruft para mantenerse al d\u00eda con el cambiante ecosistema de amenazas, ha seguido aprovechando documentos de Word maliciosos basados \u200b\u200b\u200b\u200ben macros en abril de 2023 para eliminar el malware, reflejando una cadena similar que fue reportado<\/a> por Malwarebytes en enero de 2021.<\/p>\n Aprenda a detener el ransomware con protecci\u00f3n en tiempo real<\/p>\n \u00danase a nuestro seminario web y aprenda c\u00f3mo detener los ataques de ransomware en seco con MFA en tiempo real y protecci\u00f3n de cuenta de servicio.<\/p>\n Guardar mi asiento!<\/a><\/div>\n Otra ola de ataques observada a principios de noviembre de 2022, seg\u00fan la compa\u00f1\u00eda de ciberseguridad israel\u00ed, emple\u00f3 archivos ZIP que incorporaban archivos LNK para implementar el malware Amadey.<\/p>\n “[The LNK file] El m\u00e9todo puede desencadenar una cadena de infecci\u00f3n igualmente efectiva con un simple doble clic, una que es m\u00e1s confiable que las vulnerabilidades de n-day o las macros de Office que requieren clics adicionales para iniciarse”, dijo Check Point.<\/p>\n “APT37 contin\u00faa representando una amenaza considerable, lanza m\u00faltiples campa\u00f1as en las plataformas y mejora significativamente sus m\u00e9todos de entrega de malware”.<\/p>\n Los hallazgos se producen cuando Kaspersky revel\u00f3 un nuevo malware basado en Go desarrollado por ScarCruft con nombre en c\u00f3digo SidLevel que utiliza el servicio de mensajer\u00eda en la nube Ably como un mecanismo C2 por primera vez y viene con “amplias capacidades para robar informaci\u00f3n confidencial de las v\u00edctimas”.<\/p>\n \u201cEl grupo contin\u00faa apuntando a personas relacionadas con Corea del Norte, incluidos novelistas, estudiantes acad\u00e9micos y tambi\u00e9n empresarios que parecen enviar fondos a Corea del Norte\u201d, dijo la firma rusa de ciberseguridad. anotado<\/a> en su Informe de tendencias APT para el primer trimestre de 2023.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1682938927_691_El-actor-de-amenazas-vietnamita-infecta-500000-dispositivos-usando-tacticas.png\")
<\/a><\/center><\/div>\n![\"Malware](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1683057991_417_ScarCruft-de-Corea-del-Norte-implementa-malware-RokRAT-a-traves.png\" "\\"Malware")
<\/div>\n