Un an\u00e1lisis de los indicadores de compromiso (IoC<\/a>) asociado con el hackeo de JumpCloud ha descubierto evidencia que apunta a la participaci\u00f3n de grupos patrocinados por el estado de Corea del Norte, en un estilo que recuerda el ataque a la cadena de suministro dirigido a 3CX.<\/p>\n Los hallazgos provienen de SentinelOne, que trazado<\/a> la infraestructura relacionada con la intrusi\u00f3n para descubrir patrones subyacentes. Vale la pena se\u00f1alar que JumpCloud, la semana pasada, atribuy\u00f3 el ataque a un “actor de amenazas sofisticado patrocinado por el estado-naci\u00f3n” no identificado.<\/p>\n “Los actores de amenazas de Corea del Norte demuestran un alto nivel de creatividad y conciencia estrat\u00e9gica en sus estrategias de selecci\u00f3n”, dijo el investigador de seguridad de SentinelOne, Tom Hegel, a The Hacker News. “Los hallazgos de la investigaci\u00f3n revelan un enfoque exitoso y multifac\u00e9tico empleado por estos actores para infiltrarse en los entornos de los desarrolladores”.<\/p>\n “Buscan activamente acceso a herramientas y redes que puedan servir como puertas de entrada a oportunidades m\u00e1s amplias. Es notable su tendencia a ejecutar m\u00faltiples niveles de intrusiones en la cadena de suministro antes de involucrarse en robos por motivos financieros”.<\/p>\n En un desarrollo relacionado, CrowdStrike, que est\u00e1 trabajando con JumpCloud para investigar el incidente, atribuy\u00f3 el ataque a un actor norcoreano conocido como Labyrinth Chollima, un subgrupo dentro del infame Grupo Lazarus, seg\u00fan Reuters<\/a>.<\/p>\n La infiltraci\u00f3n se us\u00f3 como un “trampol\u00edn” para apuntar a las empresas de criptomonedas, dijo la agencia de noticias, lo que indica un intento por parte del adversario de generar ingresos ilegales para la naci\u00f3n afectada por las sanciones.<\/p>\n Las revelaciones tambi\u00e9n coinciden con una campa\u00f1a de ingenier\u00eda social de bajo volumen identificada por GitHub que apunta a las cuentas personales de los empleados de las empresas de tecnolog\u00eda, utilizando una combinaci\u00f3n de invitaciones a repositorios y dependencias maliciosas de paquetes npm. Las cuentas objetivo est\u00e1n asociadas con los sectores de blockchain, criptomonedas, juegos de azar en l\u00ednea o ciberseguridad.<\/p>\n La subsidiaria de Microsoft conect\u00f3 la campa\u00f1a con un grupo de pirater\u00eda de Corea del Norte que rastrea bajo el nombre de Jade Sleet (tambi\u00e9n conocido como TraderTraitor).<\/p>\n “Jade Sleet se dirige principalmente a usuarios asociados con criptomonedas y otras organizaciones relacionadas con blockchain, pero tambi\u00e9n se dirige a proveedores utilizados por esas empresas”, Alexis Wales de GitHub. dicho<\/a> en un informe publicado el 18 de julio de 2023.<\/p>\n Las cadenas de ataque implican configurar personas falsas en GitHub y otros servicios de redes sociales como LinkedIn, Slack y Telegram, aunque en algunos casos se cree que el actor de amenazas ha tomado el control de cuentas leg\u00edtimas.<\/p>\n Bajo la personalidad asumida, Jade Sleet inicia el contacto con los objetivos y los invita a colaborar en un repositorio de GitHub, convenciendo a las v\u00edctimas de que clonen y ejecuten los contenidos, que cuentan con software se\u00f1uelo con dependencias maliciosas de npm que act\u00faan como malware de primera etapa para descargar y ejecutar cargas \u00fatiles de segunda etapa en la m\u00e1quina infectada.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n Los paquetes npm maliciosos, seg\u00fan GitHub, son parte de una campa\u00f1a que sali\u00f3 a la luz el mes pasado, cuando Phylum detall\u00f3 una amenaza en la cadena de suministro que involucra una cadena de ejecuci\u00f3n \u00fanica que utiliza un par de m\u00f3dulos fraudulentos para obtener una pieza desconocida de malware de un servidor remoto.<\/p>\n SentinelOne, en su \u00faltimo an\u00e1lisis, dijo 144.217.92[.]197, una direcci\u00f3n IP vinculada al ataque JumpCloud, se resuelve en npmaudit[.]com<\/a>, uno de los ocho dominios enumerados por GitHub como utilizados para obtener el malware de segunda etapa. Una segunda direcci\u00f3n IP 23.29.115[.]171 mapas a npm-piscina[.]organizaci\u00f3n<\/a>.<\/p>\n “Es evidente que los actores de amenazas de Corea del Norte se adaptan y exploran continuamente m\u00e9todos novedosos para infiltrarse en las redes espec\u00edficas”, dijo Hegel. “La intrusi\u00f3n de JumpCloud sirve como una clara ilustraci\u00f3n de su inclinaci\u00f3n hacia la orientaci\u00f3n de la cadena de suministro, lo que genera una multitud de posibles intrusiones posteriores”.<\/p>\n “La RPDC demuestra una profunda comprensi\u00f3n de los beneficios derivados de la selecci\u00f3n meticulosa de objetivos de alto valor como punto de pivote para realizar ataques a la cadena de suministro en redes fruct\u00edferas”, agreg\u00f3 Hegel.<\/p>\n <\/p>\n