Se ha observado que el actor de amenazas norcoreano conocido como ScarCruft usa un malware que roba informaci\u00f3n con funciones previas de escuchas telef\u00f3nicas no documentadas, as\u00ed como una puerta trasera desarrollada con Golang que explota el servicio de mensajer\u00eda en tiempo real Ably.<\/p>\n
“El actor de amenazas envi\u00f3 sus comandos a trav\u00e9s de la puerta trasera de Golang que est\u00e1 utilizando el servicio Ably”, dijo el Centro de Respuesta a Emergencias de Seguridad AhnLab (ASEC) dicho<\/a> en un informe t\u00e9cnico. “El valor de la clave API requerido para la comunicaci\u00f3n de comandos se guard\u00f3 en un repositorio de GitHub”.<\/p>\n ScarCruft es un equipo patrocinado por el estado con v\u00ednculos con el Ministerio de Seguridad del Estado (MSS) de Corea del Norte. Se sabe que est\u00e1 activo desde al menos 2012.<\/p>\n Las cadenas de ataque montadas por el grupo implican el uso de se\u00f1uelos de phishing para entregar RokRAT, aunque ha aprovechado una amplia gama de otras herramientas personalizadas para recopilar informaci\u00f3n confidencial.<\/p>\n En la \u00faltima intrusi\u00f3n detectada por ASEC, el correo electr\u00f3nico contiene un archivo de ayuda HTML compilado (.CHM) de Microsoft, una t\u00e1ctica que se inform\u00f3 por primera vez en marzo de 2023, que, cuando se hace clic, se comunica con un servidor remoto para descargar un malware de PowerShell conocido como Chinotto. .<\/p>\n Chinotto, adem\u00e1s de ser responsable de configurar la persistencia, recuperar cargas \u00fatiles adicionales, incluida una puerta trasera con nombre en c\u00f3digo AblyGo (tambi\u00e9n conocido como SidLevel de Kaspersky) que abusa de Ably para comando y control.<\/p>\n No termina ah\u00ed, ya que AblyGo se utiliza como conducto para ejecutar en \u00faltima instancia un malware de ladr\u00f3n de informaci\u00f3n denominado FadeStealer que viene con varias funciones para tomar capturas de pantalla, recopilar datos de medios extra\u00edbles y tel\u00e9fonos inteligentes, registrar pulsaciones de teclas y grabar micr\u00f3fonos.<\/p>\n \u201cEl grupo RedEyes lleva a cabo ataques contra personas espec\u00edficas, como desertores de Corea del Norte, activistas de derechos humanos y profesores universitarios\u201d, dijo ASEC. “Su enfoque principal es el robo de informaci\u00f3n”.<\/p>\n “La escucha no autorizada de personas en Corea del Sur se considera una violaci\u00f3n de la privacidad y est\u00e1 estrictamente regulada por las leyes pertinentes. A pesar de esto, el actor de amenazas monitore\u00f3 todo lo que las v\u00edctimas hicieron en su PC e incluso realiz\u00f3 escuchas telef\u00f3nicas”.<\/p>\n \ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n \u00danase a la sesi\u00f3n<\/a><\/div>\n Los archivos CHM tambi\u00e9n han sido empleados por otros grupos afiliados a Corea del Norte, como Kimsuky, y SentinelOne revel\u00f3 una campa\u00f1a reciente que aprovecha el formato de archivo para ofrecer una herramienta de reconocimiento llamada RandomQuery.<\/p>\n en un nuevo conjunto de ataques<\/a> detectados por ASEC, los archivos CHM est\u00e1n configurados para soltar un archivo BAT, que luego se usa para descargar malware de pr\u00f3xima etapa y filtrar la informaci\u00f3n del usuario del host comprometido.<\/p>\n Spear-phishing, que ha sido la t\u00e9cnica de acceso inicial preferida de Kimsuky durante m\u00e1s de una d\u00e9cada, generalmente est\u00e1 precedida por una amplia investigaci\u00f3n y una preparaci\u00f3n meticulosa, seg\u00fan un aviso de las agencias de inteligencia de EE. UU. y Corea del Sur.<\/p>\n Los hallazgos tambi\u00e9n siguen las recomendaciones del Grupo Lazarus explotaci\u00f3n activa<\/a> de fallas de seguridad en software como INISAFE CrossWeb EX<\/a>, MagicLine4NX<\/a>, TCO!Corriente<\/a>y chalecoCert<\/a> que se utilizan ampliamente en Corea del Sur para violar empresas e implementar malware.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgJAjUQq6Q-jnCUYYsXW9S62xJXyCmVlxF__fI5R0hdBdqBD6x-3aAoH7eBcc_FJ1C5b7gUMEbhDvqoDNQli6GCY7zdtiROqBsEwJdQK0GJsddjJY20zaFbXObbbtlW838TLd_DI5fQQ-ug4-jw3mfW8-n6MUytcojduvyOtnjbOxtv7BM36WV4bPSbLQ\/s728-e200\/netspi-728-2.jpg\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/Los-piratas-informaticos-de-ScarCruft-explotan-el-servicio-Ably-para.png\")
<\/div>\n