En el informe de esta semana, analizamos la última campaña del actor malicioso norcoreano Kimsuky, respaldado por el Estado, que se asegura de que su carga útil solo sea descargada por las víctimas previstas. El carácter selectivo de esta actividad supone un cambio de táctica por parte de este actor malicioso oportunista, que además hace todo lo posible por dificultar la ingeniería inversa de sus campañas.
A continuación, se presenta un resumen de una campaña de ciberespionaje respaldada por China cuyo objetivo es distribuir el marco de explotación ScanBox. La campaña « TA423-operated » se ha dirigido principalmente a organismos gubernamentales australianos y a empresas de medios de comunicación.
Por último, analizamos por primera vez el nuevo y peligroso ransomware «Agenda», una variante programada en el lenguaje de programación Go y de la que se ha observado que distribuye variantes personalizadas, diseñadas específicamente para cada una de las víctimas a las que va dirigida.
1. Cómo se aseguran los hackers de Kimsuky de que sus ataques de malware solo afecten a objetivos válidos
El actor malicioso norcoreano «Kimsuky» está tomando medidas para garantizar que sus cargas maliciosas de tipo « » (se abre en una nueva pestaña) solo sean descargadas por objetivos válidos, en lugar de acabar en los sistemas de los investigadores de seguridad.
Kimsuky (se abre en una nueva pestaña) es un grupo de ciberespionaje con sede en Corea del Norte que lleva en activo al menos desde el año 2012. Históricamente, el grupo se ha centrado en atacar a organismos gubernamentales y centros de estudios surcoreanos, y desde entonces ha ampliado sus operaciones para incluir ataques contra organizaciones ubicadas en Estados Unidos, Rusia, Europa y Estados miembros de la ONU.
Hasta la fecha, Kimsuky ha centrado principalmente sus actividades de recopilación de información en cuestiones de política exterior y seguridad nacional relacionadas con la península de Corea, la política nuclear y las sanciones.
- En la nueva campaña de Kimsuky, a la que Kaspersky ha bautizado como «GoldDragon», la cadena de infección comienza con un correo electrónico de spear-phishing que contiene un documento de Word con una macro incrustada.
- Parte de la cadena de ataque de la campaña consiste en un paso de verificación, cuyos resultados determinan si el usuario recibe o no un documento malicioso.
- Los documentos maliciosos enviados a la víctima contienen una macro que se encarga de descargar la siguiente fase de la carga útil. La macro, aunque sencilla, genera varias ventanas secundarias de la línea de comandos de Windows con el objetivo de eludir el análisis basado en el comportamiento. La macro acaba ejecutando una carga útil diseñada para ejecutar una aplicación HTML de Microsoft.
Kaspersky considera que los objetivos de esta campaña son personas o entidades relacionadas con la política y las actividades diplomáticas, lo que concuerda con los objetivos históricos de Kimsuky.
Cómo los hackers de «Kimsuky» se aseguran de que su malware solo llegue a objetivos válidos - @billtoulas bleepingcomputer.com/news/security/…
Las nuevas medidas de seguridad de Kimsuky
Kimsuky ha implementado nuevas medidas de seguridad para garantizar que las cargas maliciosas de las operaciones solo sean descargadas por destinatarios válidos. Estas nuevas medidas de seguridad son tan eficaces que Kaspersky informó de que no había podido obtener las cargas útiles finales, ni siquiera tras conectarse al servidor de mando y control (C2) de Kimsuky.
Los correos electrónicos de spear-phishing de la campaña contienen un enlace que redirige a la víctima a un servidor « C2 » de primera fase, el cual comprueba si el equipo afectado figura en una lista de objetivos válidos y verifica que se cumplan varias condiciones antes de enviar el documento malicioso.
Si la víctima no figura en la lista de objetivos, se le envía un documento inofensivo. Por extraño que parezca, tanto los documentos maliciosos como los inofensivos se envían al usuario a través del mismo script. El documento descargado por la primera fase C2 contiene una macro maliciosa que conecta a la víctima con la segunda fase C2, recupera la carga útil de la siguiente fase y la ejecuta mediante el proceso mshta.exe.
Uno de los C2 scripts genera una dirección de blog única a partir de la dirección IP de la víctima, recortando los últimos 20 caracteres del valor hash de dicha dirección. Los investigadores creen que la intención es gestionar un blog falso específico para cada víctima, con el fin de dar una apariencia de legitimidad a la estafa y reducir la probabilidad de que se detecte.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Kimsuky es un actor malicioso muy sofisticado que ha sido noticia recientemente por el uso de extensiones de Google Chrome para robar correos electrónicos (se abre en una nueva pestaña) pertenecientes a personas de interés. Verificar a cada una de las personas que hace clic en el enlace malicioso es una tarea defensiva que requiere un alto nivel de compromiso y recursos, y que pone de manifiesto el creciente grado de madurez de Kimsuky, además de arrojar luz sobre su objetivo final: llevar a cabo actividades de ciberespionaje altamente selectivas. «Es evidente que este grupo oportunista no escatimará esfuerzos para impedir cualquier posible ingeniería inversa».
2. Unos piratas informáticos chinos atacan al Gobierno australiano con el malware ScanBox
Proofpoint y PwC (se abre en una nueva pestaña) han identificado conjuntamente una campaña de ciberespionaje que utiliza el marco de explotación ScanBox. El informe analiza en profundidad el ataque de tipo «watering hole», que se cree que ha sido perpetrado por TA423.
TA423, también conocido como Red Ladon y APT40, es un actor malicioso dedicado al ciberespionaje con sede en China que, según se cree, lleva en activo desde 2013. A lo largo de los años, el grupo ha tenido como objetivo a diversas organizaciones en respuesta a los acontecimientos geopolíticos de la región de Asia-Pacífico, centrándose especialmente en el mar de China Meridional.
Entre las organizaciones que habían sido objeto de estos ataques anteriormente se encontraban contratistas del sector de la defensa, fabricantes, universidades, organismos gubernamentales, bufetes de abogados implicados en disputas diplomáticas y empresas extranjeras relacionadas con la política de Australasia o con operaciones en el Mar de China Meridional.
El grupo «TA423 » ha llamado la atención en repetidas ocasiones de las fuerzas del orden internacionales; la Oficina de Investigación de Delitos Informáticos () del Departamento de Justicia de EE. UU. imputó (se abre en una nueva pestaña) a varios miembros del grupo el año pasado.
La reciente campaña de TA423
La reciente campaña «TA423’s » se inició en April 2022 e implicó el envío de correos electrónicos de phishing que redirigían a las víctimas a un sitio web malicioso que les inyectaba la carga maliciosa del malware ScanBox.
La campaña se dirigió principalmente a organismos gubernamentales australianos, tanto locales como federales, a empresas de comunicación australianas y a fabricantes internacionales del sector de la industria pesada que se encargan del mantenimiento de flotas de aerogeneradores en el Mar de China Meridional.
Los correos electrónicos de phishing relacionados con ScanBox procedían de direcciones de correo electrónico de Gmail y Outlook que, según Proofpoint, fueron creadas por el propio autor de la amenaza. Los correos electrónicos afirman proceder de alguien que está poniendo en marcha una página web de noticias y que solicita la opinión de los usuarios sobre su sitio web; además, contienen un enlace a la página maliciosa. La URL maliciosa parece estar personalizada para cada objetivo, pero todas redirigen a la misma página para distribuir la misma carga útil de ScanBox.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No es ninguna sorpresa que los actores con sede en China sigan dirigiendo sus ataques contra organizaciones cuyas actividades coinciden con los intereses del Estado. La actividad reciente de TA423’s nos recuerda que, a pesar de los grandes esfuerzos de las fuerzas del orden estadounidenses, este tipo de acciones suelen ser, en la mayoría de los casos, un intento de apaciguar a la opinión pública y promover la idea de que el alcance de Estados Unidos es amplio a la hora de perseguir a los piratas informáticos internacionales». Los actores maliciosos respaldados por el Estado chino saben muy bien que son difíciles de rastrear y aún más difíciles de llevar ante la justicia. Ni siquiera una acusación pública por parte del Departamento de Justicia de los Estados Unidos pudo impedir que este grupo llevara a cabo la misión de espionaje que se había propuesto. «El único aspecto positivo es la información que estas acusaciones suelen aportar sobre la metodología empleada por dichos grupos».
«Esta actividad también podría poner de relieve una vuelta a lo básico en la asignatura TA423.» El último uso documentado de ScanBox tuvo lugar durante una campaña 2018 , tras la cual el autor de la amenaza pasó a utilizar la inyección de plantillas RTF y macros maliciosas. ¿Podría estar experimentando ScanBox un resurgimiento entre los actores respaldados por el Estado chino? «El tiempo lo dirá».
3. El nuevo ransomware «Agenda», adaptado a cada víctima
Un informe reciente de Trend Micro sobre el « » ( , se abre en una nueva pestaña;; ) revela un nuevo tipo de ransomware dirigido, escrito en el lenguaje de programación Go.
Tal y como se desprende de sus notas de rescate, el ransomware se denomina «Agenda» y se cree que tiene como objetivo a empresas de Asia y África. Agenda puede reiniciar los sistemas en modo seguro, intenta detener numerosos procesos y servicios específicos del servidor, y dispone de varios modos en los que puede ejecutarse.
Trend Micro recopiló y analizó varias muestras, todas ellas archivos PE de Windows de 64 bits escritos en Go y dirigidos a sistemas basados en Windows. Se ha observado que el grupo responsable de la distribución del malware tenía como objetivo organizaciones del sector sanitario y educativo en Indonesia, Arabia Saudí, Sudáfrica y Tailandia.
Cada muestra de ransomware se personalizó para la víctima a la que iba dirigida, incluyendo detalles como el identificador de la empresa, la clave RSA, los procesos y servicios que debían detenerse antes del cifrado, así como el importe del rescate. Los investigadores creen que el grupo de ransomware Agenda ofrece a sus afiliados la posibilidad de personalizar cargas útiles binarias configurables para cada víctima.
La cadena de ataque de Agenda
Trend Micro investigó un incidente concreto relacionado con el ransomware Agenda y descubrió que el autor de la amenaza utilizaba un servidor Citrix accesible al público como punto de entrada.
Se cree que el autor del ataque utilizó una cuenta válida para acceder al servidor y, posteriormente, desplazarse por la red de la víctima, ya que el ransomware estaba configurado con cuentas válidas y con privilegios.
Los investigadores señalan que transcurrieron menos de dos días entre el acceso al servidor de Citrix y la infección por ransomware. El autor del ataque instaló y utilizó herramientas de escaneo, como Nmap y Nping, para escanear la red el primer día y, a continuación, creó un objeto de política de grupo (GPO) antes de desplegar el ransomware.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El ransomware Agenda ha demostrado ser altamente personalizable y sigue la misma línea que muchas otras operaciones de ransomware que, por un lado, están aumentando su compatibilidad multiplataforma y, por otro, siguen perfeccionando sus técnicas para mantener su éxito y resultar atractivas para posibles afiliados». La capacidad de Agenda para aprovechar la función de modo seguro de un dispositivo le permite llevar a cabo su rutina de cifrado de forma prácticamente imperceptible. «Agenda es un ejemplo más de cómo las barreras de entrada son cada vez menores para los autores de amenazas que desean llevar a cabo ataques de ransomware, independientemente de su nivel de sofisticación».
¿Tiene alguna novedad o reflexión que compartir sobre las noticias de esta semana? Inicie una conversación en o visite nuestro foro de debate. Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas en .
