En el resumen de esta semana, CTI analiza la actividad más reciente del Grupo Lazarus de Corea del Norte , que incluye ataques repetidos contra un proveedor de software no identificado y el despliegue de múltiples familias de malware. En su próximo informe, CTI arroja luz sobre «Prolific Puma», un actor malicioso especializado en DNS que lleva varios años operando en la sombra. CTI concluye con un análisis sobre un actor malicioso norcoreano que guarda vínculos con el Grupo Lazarus y que, en la actualidad, tiene como objetivo a los ingenieros especializados en blockchain de una plataforma de intercambio de criptomonedas mediante un nuevo malware para macOS.
1. El Grupo Lazarus tiene en el punto de mira a un proveedor de software
Se ha observado que el grupo «Lazarus» de Corea del Norte, (se abre en una nueva pestaña) , ha comprometido en repetidas ocasiones a un proveedor de software cuyo nombre no se ha revelado. El grupo logró aprovechar las vulnerabilidades a pesar de que existían múltiples parches y avisos. Los atacantes utilizaron varias técnicas de evasión y emplearon múltiples familias de malware.
Resumen del ataque
Según SecureList (se abre en una nueva pestaña), el proveedor ya había sido víctima en numerosas ocasiones del Grupo Lazarus. Esta violación recurrente apunta a un actor malintencionado persistente que podría tener en mente un posible ataque a la cadena de suministro.
El malware SIGNBT utilizado en el ataque empleó una cadena de infección variada y técnicas sofisticadas. El autor de la amenaza también utilizó LPEClient para llevar a cabo una serie de ataques selectivos.
Acerca del cargador SIGNBT
En July 2023, SecureList detectó una serie de ataques dirigidos contra varias víctimas a través de software de seguridad legítimo diseñado para cifrar las comunicaciones web mediante certificados digitales.
En uno de los casos, SecureList descubrió el malware SIGNBT y su código shell, responsables de ejecutar un archivo ejecutable de Windows directamente en memoria. El autor del ataque utilizó diferentes tácticas para garantizar la persistencia durante el mismo y múltiples métodos para cargar la carga útil final de SIGNBT. El autor de la amenaza utilizó principalmente la instalación paralela de archivos DLL para distribuir SIGNBT.
El malware SIGNBT: una visión general
La mayoría de las instancias del malware SIGNBT se ejecutan desde el cargador del malware, que funciona en memoria.
Una vez ejecutado, comienza a comunicarse con el servidor C2 , enviando una señal de localización tras inicializar sus datos de configuración. En sus comunicaciones utiliza cadenas de caracteres distintivas que comienzan por «SIGNBT», de ahí el nombre del malware. El malware crea un valor de 24 bytes y genera 24 bytes adicionales de datos aleatorios, que se combinan mediante una operación XOR. Los valores codificados se combinan con tres o siete nombres de parámetros HTTP generados aleatoriamente, lo que dificulta la detección y el análisis de sus comunicaciones. El malware contiene un amplio conjunto de funcionalidades que pueden ejecutarse siguiendo las instrucciones del C2.
Algunos de los comandos compatibles con SIGNBT son los siguientes:
- CCBrush: Se encarga de funciones como obtener información sobre el sistema, comprobar la conectividad y configurar los ajustes.
- CCList: Gestiona procesos, lo que incluye obtener una lista de los procesos en ejecución, finalizar procesos, ejecutar archivos y realizar operaciones con DLL.
- CCComboBox: Permite realizar operaciones con el sistema de archivos, como obtener listas de unidades, modificar las propiedades de los archivos y crear nuevas carpetas.
- CCButton: Descarga y sube archivos, los carga en memoria y captura la pantalla.
- CCBitmap: Implementa comandos y utilidades de Windows de uso habitual.
LPEClient
Se ha observado que el actor distribuye herramientas como LPEClient y utilidades para la extracción de credenciales. El malware LPEClient no es nuevo, ya que se descubrió en 2020. Recopila información sobre las víctimas y descarga cargas útiles adicionales desde un servidor remoto para ejecutarlas en memoria.
Según SecureList, este malware ha experimentado una evolución significativa desde su descubrimiento. Ahora utiliza técnicas avanzadas para mejorar su sigilo y eludir la detección, como la desactivación del «hooking» de llamadas al sistema en modo usuario y la restauración de secciones de memoria de las bibliotecas del sistema.
LPEClient ya se ha utilizado anteriormente en ataques del Grupo Lazarus. Este malware actúa repetidamente como vector de infección inicial para permitir la elaboración de perfiles de las víctimas y la distribución de cargas útiles adicionales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este último informe pone de manifiesto una vez más hasta qué punto el Grupo Lazarus puede mostrarse decidido y persistente, al atacar repetidamente a la misma empresa con el fin de facilitar un ataque a la cadena de suministro.
No cabe duda de que el grupo está decidido a seguir siendo uno de los principales actores maliciosos. Durante sus repetidos intentos de atacar a la misma empresa de software, se basaron en gran medida en la explotación de vulnerabilidades para las que ya se había publicado un parche, lo que demuestra una vez más la importancia de aplicar los parches a tiempo.
2. Un servicio de acortamiento de enlaces hace un uso indebido del dominio de primer nivel .US
Los investigadores están realizando un seguimiento activo de un actor malicioso del ámbito del DNS denominado « » (Puma prolífico) (se abre en una nueva pestaña), que crea nombres de dominio mediante un algoritmo de generación de dominios registrados (RDGA) y los utiliza para ofrecer un servicio de acortamiento de enlaces a otros actores maliciosos con fines de phishing y otras actividades maliciosas. El servicio de acortamiento de enlaces hace un uso indebido del dominio de primer nivel (TLD) .US.
¿Qué es «Puma prolífico»?
Prolific Puma desempeña un papel secundario en la cadena de suministro de la ciberdelincuencia, al permitir que otros ciberdelincuentes lleven a cabo actividades maliciosas. El grupo genera de forma algorítmica un gran número de dominios y los utiliza para crear enlaces acortados. Otros actores maliciosos utilizan estos enlaces para ocultar su actividad.
Los investigadores encontraron referencias a los servicios de acortamiento de enlaces de « » y «Puma’s» (se abre en una nueva pestaña) que se remontan a January 2020. Los enlaces acortados se envían principalmente a las víctimas a través de mensajes de texto. No obstante, también podrían utilizarse en otros contextos.
Detección y características de los nombres de dominio
Infoblox combinó los registros de consultas DNS pasivas con otras fuentes de datos para llevar a cabo una serie de análisis sobre los dominios recién consultados, registrados o configurados. Esto les permitió caracterizar los dominios, señalando algunos como sospechosos y asignando otros a un actor malintencionado concreto del ámbito del DNS. A principios de este año implementaron algoritmos para la detección de RDGA, lo que les permitió identificar dominios de Prolific Puma agrupados.
La conexión entre los dominios de Prolific Puma y las verdaderas páginas de destino finales es indirecta. El tráfico malicioso se distribuye entre los dominios de redireccionamiento en pequeños volúmenes, lo que hace que algunos de ellos adquieran una reputación «buena» gracias a un proceso estratégico de envejecimiento.
Prolific Puma ha registrado entre 35,000 y 75,000 dominios únicos desde el April 2022, y se observan aproximadamente 43 nuevos dominios cada día. El actor utiliza principalmente NameSilo como registrador de nombres de dominio y deja que los dominios adquieran antigüedad de forma estratégica antes de empezar a alojar su servicio con proveedores anónimos. El actor hace un uso indebido constante del dominio de nivel superior .US, y es conocido por registrar tanto dominios nuevos como aquellos que han caducado.
Los dominios son alfanuméricos, pseudoaleatorios y suelen tener una longitud de entre tres y cuatro caracteres. Los dominios también están registrados en 12 dominios de nivel superior (TLD), y aproximadamente el 55 % de ellos lo están bajo el dominio .US.
Uso indebido del dominio de nivel superior .US
Solo los ciudadanos estadounidenses y las empresas vinculadas a Estados Unidos pueden registrar dominios .US. Para registrar un dominio .US con NameSilo, debe disponer de una dirección de correo electrónico y seleccionar una categoría que refleje su relación con EE. UU. Se ha observado que Puma, de gran actividad, ha seleccionado la categoría «ciudadano estadounidense».
El solicitante del registro también debe facilitar su nombre, dirección y número de teléfono, datos que, al parecer, no se verifican en ningún momento del proceso. Se trata de un problema recurrente para muchos dominios de nivel superior (TLD), ya que a los registradores les resulta difícil regular los dominios.
Cómo Puma, una empresa tan prolífica, aprovecha el envejecimiento estratégico
Los autores de amenazas relacionadas con el DNS son similares a los autores de amenazas de malware, pero dejan muy poca información con la que trabajar en los registros del DNS y de registro de dominios. Prolific Puma prefiere utilizar el registro de dominios privados, pero sigue dependiendo en gran medida de los registros de TLD que deben ser públicos.
El actor dejará el dominio sin utilizar o «aparcado» durante varias semanas tras su registro, una técnica conocida como «envejecimiento estratégico». Esto se hace de forma deliberada, ya que muchos ataques de phishing están relacionados con dominios de reciente registro y, ante ello, algunas empresas bloquean el acceso a dichos dominios. Durante este proceso de maduración, el actor malintencionado realizará algunas consultas DNS para que el dominio adquiera una buena reputación.
Parece que Prolific Puma presta un servicio a otros actores maliciosos y que las páginas de destino finales no están bajo su control, aunque es posible que sí lo estén. Tampoco queda claro cómo promociona Prolific Puma sus servicios ni cómo reciben sus usuarios la URL acortada.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los investigadores suelen dedicar mucho tiempo a analizar el punto de inicio y el punto final de una campaña maliciosa, es decir, la página de destino. Lo que estamos observando con Prolific Puma es el eslabón intermedio de la cadena de suministro ciberdelictiva en su conjunto, y cómo estos actores maliciosos del ámbito del DNS pueden facilitar aún más las actividades de otros ciberdelincuentes. Esto es lo que hace que Prolific Puma y su servicio de acortamiento de enlaces resulten tan interesantes.
3. Los piratas informáticos atacan a expertos en criptomonedas con el malware KANDYKORN
Los actores maliciosos norcoreanos están atacando ahora a los ingenieros de blockchain de una plataforma de intercambio de criptomonedas con un nuevo malware para macOS (se abre en una nueva pestaña) denominado KANDYKORN.
Esta actividad, cuyos orígenes se remontan a April 2023, combina capacidades personalizadas y de código abierto, y se solapa con el Grupo Lazarus.
El flujo de ejecución
En este ejemplo, los autores de la amenaza comenzaron haciéndose pasar por miembros de la comunidad de ingenieros de blockchain en un servidor público de Discord. A continuación, el actor recurrió a la ingeniería social para convencer a las víctimas de que descargaran y descomprimieran un archivo ZIP que contenía código malicioso, haciendo creer a la víctima que estaba instalando un «bot de arbitraje», es decir, una herramienta de software utilizada para obtener beneficios a partir de las diferencias en los tipos de cambio de las criptomonedas entre distintas plataformas.
La cadena de ataque culmina, en última instancia, con la distribución del malware KANDYKORN.
- Droppers de la fase 1: testSpeed.py y FinderTools son dos droppers que se utilizan en la primera fase del ataque.
El archivo «testSpeed.py» establece una conexión de salida y descarga un archivo Python adicional desde una URL de Google Drive (FinderTools). A continuación, «testSpeed.py» guardará y ejecutará este nuevo archivo.
FinderTools es otro dropper más que descargará y ejecutará una carga útil oculta de segunda fase (.sld).
- Carga útil de la etapa 2 : . Esta etapa consiste en ejecutar un binario ofuscado denominado SUGARLOADER. Este archivo binario se utiliza dos veces con dos nombres distintos: .sld y .log. Se utiliza para el acceso inicial al equipo y, de nuevo, para inicializar el entorno de cara a la fase final. Su objetivo principal es conectarse a un servidor C2 para descargar y ejecutar la carga útil de la fase final, KANDYKORN.
SUGARLOADER se asegurará de que el archivo de configuración exista, se cargue en memoria y se descifre antes de establecer una conexión con el servidor remoto. El último paso consiste en descargar la carga útil de la fase final del servidor C2 y ejecutarla. Este actor aprovecha una técnica conocida como «carga binaria reflexiva», que puede utilizarse para ejecutar una carga útil desde un búfer en memoria. SUGARLOADER carga de forma reflexiva el archivo binario KANDYKORN.
- Discord del cargador de la etapa 3 : . Durante esta etapa del ataque, una carga útil denominada HLOADER intenta hacerse pasar por la aplicación legítima de Discord. Se identificó mediante una técnica de firma de código binario de macOS que ya se había relacionado anteriormente con la intrusión « 3CX » del Grupo Lazarus.
Para garantizar la persistencia, el actor recurre al secuestro del flujo de ejecución. El objetivo principal del cargador es ejecutar el paquete legítimo de Discord junto con la carga útil .log mencionada anteriormente, que se utiliza para ejecutar archivos binarios Mach-O desde la memoria.
- Etapa 4 KANDYKORN: KANDYKORN es la última etapa de la cadena de ejecución y cuenta con un completo conjunto de capacidades para acceder a los datos y extraerlos.
Sus procesos se bifurcan y se ejecutan en segundo plano como demonios antes de cargar su archivo de configuración. Una vez establecida la comunicación, KANDYKORN esperará a recibir órdenes del servidor C2 en lugar de realizar consultas periódicas en busca de órdenes. Entre los comandos disponibles se incluyen: recopilar información, transferir archivos, archivar un directorio, así como extraer, sobrescribir y eliminar archivos, finalizar procesos, iniciar un shell, descargar un nuevo archivo de configuración y mucho más. En el informe de Elastic se puede consultar una lista completa de los comandos que admite.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
No es la primera vez que un grupo vinculado a Lazarus ha utilizado malware para macOS. No obstante, sí indica que el autor de la amenaza podría estar empezando a centrarse en el malware para macOS. Aunque este ataque parece estar dirigido específicamente al sector de las criptomonedas, muchas de las demás TTP no son exclusivas y, por lo tanto, podrían volver a aparecer en el futuro.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « ».
