Se utilizó malware en una serie de ataques dirigidos a los sectores aeroespacial y de defensa de EE. UU.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA - Cybersecurity and Infrastructure Security Agency) ha publicado una alerta de seguridad (al 19 Agosto) que contiene detalles sobre una nueva cepa de malware que fue visto este año desplegado por hackers del gobierno de Corea del Norte.
Los ataques siguieron el mismo patrón, con hackers norcoreanos haciéndose pasar por reclutadores de grandes corporaciones para acercarse a los empleados de las empresas deseadas.
Se pidió a los empleados seleccionados que pasaran por un proceso de entrevista, durante el cual generalmente recibían documentos maliciosos de Office o PDF que los piratas informáticos norcoreanos usarían para implementar malware en las computadoras de la víctima.
La carga útil final de estos ataques es el punto focal de ésta alerta CISA, un troyano de acceso remoto (RAT) que CISA llama BLINDINGCAN (llamado DRATzarus en el informe ClearSky).
Los expertos de CISA dicen que los hackers norcoreanos utilizaron el malware para obtener acceso a los sistemas de las víctimas, realizar reconocimientos y luego "recopilar información sobre tecnologías militares y energéticas clave".
Esto fue posible gracias al amplio conjunto de capacidades técnicas de BLINDINGCAN, que permitieron a la RAT:
- Recuperar información sobre todos los discos instalados, incluido el tipo de disco y la cantidad de espacio libre en el disco
- Obtener información sobre la versión del sistema operativo (OS)
- Obtener información del procesador
- Obtener el nombre del sistema
- Obtener información de la dirección IP local
- Obtener la dirección de control de acceso a medios (MAC) de la víctima.
- Crear, iniciar y finalizar un nuevo proceso y su hilo principal
- Buscar, leer, escribir, mover y ejecutar archivos
- Obtener y modificar marcas de tiempo de archivos o directorios
- Cambiar el directorio actual de un proceso o archivo
- Eliminar el malware y los artefactos asociados con el malware del sistema infectado.
La alerta CISA incluye indicadores de compromiso y otros detalles técnicos que pueden ayudar a los administradores del sistema y a los profesionales de seguridad a establecer reglas para escanear sus redes en busca de signos de compromiso.
Esta es la trigésima quinta vez que el gobierno de EE. UU. Emite una alerta de seguridad sobre la actividad maliciosa de Corea del Norte. Desde el 12 de mayo de 2017, CISA ha publicado informes sobre 31 familias de malware norcoreanas en su sitio web.
Los hackers del gobierno de Corea del Norte han sido uno de los cuatro actores de amenazas más activos que se han dirigido a Estados Unidos en los últimos años, junto con grupos chinos, iraníes y rusos.
Estados Unidos ha estado tratando de disuadir los ataques acusando penalmente a los piratas informáticos de estos países o denunciando públicamente las actividades de piratería que van más allá del espionaje de inteligencia.
A principios de este año, en abril, el Departamento de Estado de EE. UU. Ha intensificado sus esfuerzos para disuadir a los piratas informáticos norcoreanos mediante la creación de un programa de recompensas de $ 5 millones por cualquier información sobre los hackers norcoreanos, su paradero o sus campañas actuales.
Referencias:
Etiquetado en: Corea del norte BLINDINGCAN
Ciberseguridad