Los actores del estado-naci\u00f3n de Corea del Norte afiliados a la Oficina General de Reconocimiento (RGB) han sido atribuidos al hackeo de JumpCloud luego de un error de seguridad operativa (OPSEC) que expuso su direcci\u00f3n IP real.<\/p>\n
La firma de inteligencia de amenazas propiedad de Google, Mandiant, atribuy\u00f3 la actividad a un actor de amenazas que rastrea con el nombre UNC4899, que probablemente comparte superposiciones con grupos que ya est\u00e1n siendo monitoreados como Jade Sleet y TraderTraitor, un grupo con un historial de huelgas en los sectores de blockchain y criptomonedas.<\/p>\n
UNC4899 tambi\u00e9n se superpone con APT43, otro equipo de pirater\u00eda asociado con la Rep\u00fablica Popular Democr\u00e1tica de Corea (RPDC) que fue desenmascarado a principios de marzo mientras realizaba una serie de campa\u00f1as para recopilar inteligencia y desviar criptomonedas de empresas objetivo.<\/p>\n
El modus operandi del colectivo adversario se caracteriza por el uso de Cajas de Relevos Operacionales (ORB<\/a>) usando t\u00faneles L2TP IPsec junto con proveedores comerciales de VPN para disfrazar el verdadero punto de origen del atacante, con servicios comerciales de VPN actuando como el salto final.<\/p>\n “Ha habido muchas ocasiones en las que los actores de amenazas de la RPDC no emplearon este \u00faltimo salto, o por error no lo utilizaron mientras realizaban acciones en operaciones en la red de la v\u00edctima”, dijo la compa\u00f1\u00eda. dicho<\/a> en un an\u00e1lisis publicado el lunes, agregando que observ\u00f3 “UNC4899 conect\u00e1ndose directamente a un ORB controlado por un atacante desde su 175.45.178[.]0\/24 subred”.<\/p>\n La intrusi\u00f3n dirigida contra JumpCloud tuvo lugar el 22 de junio de 2023, como parte de un sofisticada campa\u00f1a de spear-phishing<\/a> que aprovech\u00f3 el acceso no autorizado para violar a menos de cinco clientes y menos de 10 sistemas en lo que se denomina un ataque a la cadena de suministro de software.<\/p>\n Los hallazgos de Mandiant se basan en una respuesta a incidentes iniciada despu\u00e9s de un ataque cibern\u00e9tico contra uno de los clientes afectados de JumpCloud, una entidad de soluciones de software sin nombre, cuyo punto de partida es un script malicioso de Ruby (“init.rb”) ejecutado a trav\u00e9s del agente de JumpCloud el 27 de junio de 2023.<\/p>\n Un aspecto notable del incidente es su objetivo de cuatro sistemas Apple que ejecutan macOS Ventura versiones 13.3 o 13.4.1, lo que subraya la continua inversi\u00f3n de los actores norcoreanos en perfeccionar malware especialmente dise\u00f1ado para la plataforma en los \u00faltimos meses.<\/p>\n “El acceso inicial se obtuvo al comprometer a JumpCloud e insertar un c\u00f3digo malicioso en su marco de comandos”, explic\u00f3 la compa\u00f1\u00eda. “En al menos un caso, el c\u00f3digo malicioso era un script ligero de Ruby que se ejecutaba a trav\u00e9s del agente JumpCloud”.<\/p>\n El script, por su parte, est\u00e1 dise\u00f1ado para descargar y ejecutar un payload de segunda etapa llamado FULLHOUSE.DOORED, us\u00e1ndolo como un conducto para implementar malware adicional como STRATOFEAR y TIEDYE, despu\u00e9s de lo cual los payloads anteriores se eliminaron del sistema en un intento de encubrir las huellas:<\/p>\n Tambi\u00e9n se dice que TIEDYE exhibe similitudes con RABBITHUNT, una puerta trasera escrita en C++ que se comunica a trav\u00e9s de un protocolo binario personalizado sobre TCP y que es capaz de invertir shell, transferir archivos, crear y terminar procesos.<\/p>\n “La campa\u00f1a dirigida a JumpCloud y el compromiso de la cadena de suministro de la RPDC informado anteriormente a principios de este a\u00f1o que afect\u00f3 a la aplicaci\u00f3n X_TRADER de Trading Technologies y al software de la aplicaci\u00f3n de escritorio 3CX, ejemplifica los efectos en cascada de estas operaciones para obtener acceso a los proveedores de servicios a fin de comprometer a las v\u00edctimas posteriores”, dijo Mandiant.<\/p>\n “Ambas operaciones tienen v\u00ednculos sospechosos con actores de la RPDC motivados financieramente, lo que sugiere que los operadores de la RPDC est\u00e1n implementando TTP de la cadena de suministro para apuntar a entidades seleccionadas como parte de los mayores esfuerzos para apuntar a las criptomonedas y los activos relacionados con fintech”.<\/p>\n El desarrollo se produce d\u00edas despu\u00e9s de que GitHub advirtiera sobre un ataque de ingenier\u00eda social montado por el actor TraderTraitor para enga\u00f1ar a los empleados que trabajan en empresas de cadenas de bloques, criptomonedas, apuestas en l\u00ednea y seguridad cibern\u00e9tica para que ejecuten c\u00f3digo alojado en un repositorio de GitHub que depend\u00eda de paquetes maliciosos alojados en npm.<\/p>\n Se ha descubierto que la cadena de infecci\u00f3n aprovecha las dependencias maliciosas de npm para descargar una carga \u00fatil de segunda etapa desconocida desde un dominio controlado por un actor. Desde entonces, los paquetes han sido retirados y las cuentas suspendidas.<\/p>\n “Los paquetes identificados, publicados en pares, requer\u00edan instalaci\u00f3n en una secuencia espec\u00edfica, recuperando posteriormente un token que facilit\u00f3 la descarga de una carga \u00fatil maliciosa final desde un servidor remoto”, Phylum dicho<\/a> en un nuevo an\u00e1lisis que detalla el descubrimiento de nuevos m\u00f3dulos npm utilizados en la misma campa\u00f1a.<\/p>\n “La amplia superficie de ataque que presentan estos ecosistemas es dif\u00edcil de ignorar. Es pr\u00e1cticamente imposible para un desarrollador en el mundo de hoy no confiar en ning\u00fan paquete de c\u00f3digo abierto. Esta realidad suele ser explotada por actores de amenazas que buscan maximizar su radio de explosi\u00f3n para la distribuci\u00f3n generalizada de malware, como ladrones o ransomware”.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n Pyongyang ha utilizado durante mucho tiempo robos de criptomonedas para impulsar su programa de armas nucleares sancionado, al tiempo que organiza ataques de ciberespionaje para recopilar inteligencia estrat\u00e9gica en apoyo de las prioridades pol\u00edticas y de seguridad nacional del r\u00e9gimen.<\/p>\n “El aparato de inteligencia de Corea del Norte posee la flexibilidad y la resiliencia para crear unidades cibern\u00e9ticas basadas en las necesidades del pa\u00eds”, Mandiant anotado<\/a> el a\u00f1o pasado. “Adem\u00e1s, las superposiciones en infraestructura, malware y t\u00e1cticas, t\u00e9cnicas y procedimientos indican que hay recursos compartidos entre sus operaciones cibern\u00e9ticas”.<\/p>\n El Grupo Lazarus sigue siendo un prol\u00edfico actor de amenazas patrocinado por el estado en este sentido, lanzando constantemente ataques que est\u00e1n dise\u00f1ados para entregar de todo, desde troyanos de acceso remoto hasta ransomware y puertas traseras especialmente dise\u00f1adas, y tambi\u00e9n demostrando una disposici\u00f3n para cambiar t\u00e1cticas y t\u00e9cnicas para obstaculizar el an\u00e1lisis y hacer que su seguimiento sea mucho m\u00e1s dif\u00edcil.<\/p>\n Esto se ejemplifica por su capacidad no solo para comprometer los servidores web vulnerables de Microsoft Internet Information Service (IIS), sino tambi\u00e9n para usarlos como centros de distribuci\u00f3n de malware en ataques de pozos de agua dirigidos a Corea del Sur, seg\u00fan AhnLab Security Emergency Response Center (ASEC).<\/p>\n “El actor de amenazas utiliza continuamente ataques de vulnerabilidad para el acceso inicial a sistemas sin parches”, ASEC dicho<\/a>. “Es uno de los grupos de amenazas m\u00e1s peligrosos y altamente activos en todo el mundo”.<\/p>\n Un segundo grupo respaldado por RGB que tambi\u00e9n se enfoca en recopilar informaci\u00f3n sobre eventos geopol\u00edticos y negociaciones que afectan los intereses de la RPDC es Kimsuky, que ha sido detectado usando Escritorio remoto de Chrome<\/a> para requisar de forma remota hosts ya comprometidos a trav\u00e9s de puertas traseras como AppleSeed.<\/p>\n “El grupo Kimsuky APT lanza continuamente ataques de spear-phishing contra usuarios coreanos”, ASEC se\u00f1al\u00f3<\/a> este mes. “Por lo general, emplean m\u00e9todos de distribuci\u00f3n de malware a trav\u00e9s de archivos de documentos ocultos adjuntos a correos electr\u00f3nicos, y los usuarios que abren estos archivos pueden perder el control de su sistema actual”.<\/p>\n <\/p>\n\n