El grupo de amenazas persistentes avanzadas (APT) de Corea del Norte conocido como kimsuky<\/strong> ha sido observado usando una pieza de malware personalizado llamado RandomQuery como parte de una operaci\u00f3n de reconocimiento y exfiltraci\u00f3n de informaci\u00f3n.<\/p>\n “\u00daltimamente, Kimsuky ha estado distribuyendo constantemente malware personalizado como parte de campa\u00f1as de reconocimiento para permitir ataques posteriores”, los investigadores de SentinelOne, Aleksandar Milenkoski y Tom Hegel. dicho<\/a> en un informe publicado hoy.<\/p>\n La campa\u00f1a dirigida en curso, seg\u00fan la firma de seguridad cibern\u00e9tica, est\u00e1 dirigida principalmente a los servicios de informaci\u00f3n, as\u00ed como a las organizaciones que apoyan a los activistas de derechos humanos y a los desertores de Corea del Norte.<\/p>\n Kimsuky, activo desde 2012, ha exhibido patrones de focalizaci\u00f3n que se alinean con los mandatos y prioridades operativos de Corea del Norte.<\/p>\n Las misiones de recopilaci\u00f3n de inteligencia han implicado el uso de un conjunto diverso de malware, incluido otro programa de reconocimiento llamado ReconShark, como lo detall\u00f3 SentinelOne a principios de este mes.<\/p>\n El \u00faltimo grupo de actividad asociado con el grupo comenz\u00f3 el 5 de mayo de 2023 y aprovecha una variante de RandomQuery que est\u00e1 espec\u00edficamente dise\u00f1ada para enumerar archivos y desviar datos confidenciales.<\/p>\n RandomQuery, junto con FlowerPower y AppleSeed, se encuentran entre los mayor\u00eda<\/a> frecuentemente distribuido<\/a> herramientas en el arsenal de Kimsuky, con el primero funcionando como un ladr\u00f3n de informaci\u00f3n y un conducto para distribuir troyanos de acceso remoto como TutRAT y xRAT.<\/p>\n Los ataques comienzan con correos electr\u00f3nicos de phishing que pretenden ser de Daily NK, una destacada publicaci\u00f3n en l\u00ednea con sede en Se\u00fal que cubre los asuntos de Corea del Norte, para atraer a los objetivos potenciales a abrir un archivo de Ayuda HTML Compilado (CHM) de Microsoft.<\/p>\n Vale la pena se\u00f1alar en esta etapa que los archivos CHM tambi\u00e9n han sido adoptados como un se\u00f1uelo por otro actor del estado-naci\u00f3n de Corea del Norte conocido como ScarCruft.<\/p>\n Lanzar el archivo CHM conduce a la ejecuci\u00f3n de un Visual Basic Script que emite una solicitud HTTP GET a un servidor remoto para recuperar la carga \u00fatil de la segunda etapa, una variante de VBScript de RandomQuery.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n Luego, el malware procede a recopilar metadatos del sistema, procesos en ejecuci\u00f3n, aplicaciones instaladas y archivos de diferentes carpetas, todo lo cual se transmite de regreso al servidor de comando y control (C2).<\/p>\n “Esta campa\u00f1a tambi\u00e9n demuestra el enfoque consistente del grupo de entregar malware a trav\u00e9s de archivos CHM”, dijeron los investigadores.<\/p>\n “Estos incidentes ponen de relieve el panorama en constante cambio de los grupos de amenaza de Corea del Norte, cuyo cometido no solo abarca el espionaje pol\u00edtico, sino tambi\u00e9n el sabotaje y las amenazas financieras”.<\/p>\n Los hallazgos llegan d\u00edas despu\u00e9s del Centro de Respuesta a Emergencias de Seguridad AhnLab (ASEC) descubierto<\/a> un ataque de pozo de agua montado por Kimsuky que implica la creaci\u00f3n de un sistema de correo web similar al utilizado por los institutos de investigaci\u00f3n de pol\u00edticas nacionales para recolectar las credenciales ingresadas por las v\u00edctimas.<\/p>\n En un desarrollo relacionado, Kimsuky tambi\u00e9n ha sido vinculado a ataques<\/a> que arman los servidores vulnerables de Windows Internet Information Services (IIS) para eliminar el marco de trabajo posterior a la explotaci\u00f3n de Metasploit Meterpreter, que luego se usa para implementar un malware proxy basado en Go.<\/p>\n <\/p>\n