❤️ Adquiere tu membresía:  Contenidos protegidos, manuales y videos >> Ver Más

Hackers norcoreanos de Lazarus están atacando a proveedores de energía a nivel mundial

El grupo APT de Corea del Norte ‘Lazarus’ está explotando los servidores VMWare Horizon para acceder a las redes corporativas de los proveedores de energía en los Estados Unidos, Canadá y Japón.

Lazarus es un grupo de hackers respaldado por el estado conocido por realizar campañas de espionaje, robo de datos y robo de criptomonedas durante la última década. Los atacantes son responsables de cientos de ataques sofisticados a nivel internacional.

Según los investigadores de Cisco Talos, que descubrieron la última operación, Lazarus atacó a las organizaciones de energía entre febrero y julio de 2022, aprovechando las vulnerabilidades públicas de VMWare Horizon para el acceso inicial.

A partir de ahí, utilizaron familias de malware personalizadas como ‘VSingle’ y ‘YamaBot’. Además, utilizaron un troyano de acceso remoto (RAT) previamente desconocido llamado ‘MagicRAT’ para buscar y robar datos de dispositivos infectados.

Los investigadores de Symantec analizaron la misma campaña  en abril  y los investigadores de ASEC  en mayo. Sin embargo, el informe de Cisco va más allá para revelar muchos más detalles sobre la actividad del grupo.

Múltiples estrategias de ataque

Cisco Talos descubrió varias estrategias de ataque que ilustran las últimas técnicas, tácticas y procedimientos (TTP) de Lazarus y resaltan la versatilidad del sofisticado grupo de hacking.

En el primer caso, los hackers explotan los servidores VMWare vulnerables a las fallas de Log4Shell para ejecutar un código de shell que establece una shell inversa. Esta shell les permite ejecutar comandos arbitrarios en el punto final comprometido. 

Una de las cadenas de infección de Lazarus en la campaña 

Dado que VMWare Horizon se ejecuta con altos privilegios, Lazarus puede desactivar Windows Defender a través de modificaciones de clave de registro, WMIC y comandos de PowerShell antes de implementar VSingle.

La puerta trasera VSingle admite comandos de reconocimiento de red avanzados y prepara el terreno para robar credenciales. Además, crea nuevos usuarios administradores en el host y, finalmente, establece una conexión de shell inversa con el servidor de comando y control (C2) para obtener complementos que enriquecen su funcionalidad.

La cadena de infección VSingle

En el segundo caso presentado en el informe, que se refiere a una víctima diferente, el acceso inicial y el reconocimiento siguen patrones similares. No obstante, esta vez, los hackers instalaron MagicRAT junto con VSingle.

Talos publicó un artículo separado sobre MagicRAT ayer, detallando todas las funciones de este troyano nunca antes visto.

MagicRAT puede establecer la persistencia por sí solo mediante la ejecución de comandos codificados que crean las tareas programadas requeridas, ayudan en el reconocimiento del sistema y obtienen malware adicional de C2, como TigerRAT.

Comandos que utiliza MagicRAT para la persistencia

Más ataques

En el tercer caso de intrusión, Lazarus implementó YamaBot, un malware personalizado escrito en Go, que presenta capacidades RAT estándar como:

  • Listar archivos y directorios.
  • Descargar archivos desde ubicaciones remotas.
  • Ejecutar comandos arbitrarios en los puntos finales.
  • Autodesinstalarse

El CERT japonés vinculó a YamaBot con Lazarus en julio de 2022 , destacando sus capacidades de comunicación cifrada con C2.

La diversificación de la cadena de ataque de Lazarus no se limita a los payloads finales de malware, sino que se extiende a las herramientas de túnel inverso o proxy y a las técnicas de recolección de credenciales.

En algunos casos, los hackers emplearon las herramientas Mimikatz y Procdump. 

“En un caso, los atacantes intentaron obtener información de Active Directory en un punto final a través de cmdlets de PowerShell. Sin embargo, un día después, los atacantes utilizaron adfind.exe para extraer información similar en el mismo punto final”.

Informe de Cisco Talos. 

La idea detrás de estas variaciones es mezclar los TTP y hacer que la atribución, la detección y la defensa sean más desafiantes para los respondedores de incidentes.

Como se destaca en este informe, las empresas de ciberseguridad supervisan de cerca a Lazarus, por lo que no pueden darse el lujo de volverse perezosos al diversificar sus cadenas de ataque.

Esta diversificación en los ataques se ilustra en la amplia gama de ataques de Lazarus. Esto incluye su orientación a los solicitantes de empleo en el área informática, la creación de aplicaciones de comercio de criptomonedas falsas, la creación de  herramientas de desarrollo con troyanos, el uso de ransomware como señuelos y el robo masivo de 620 millones de dólares en criptomonedas del puente Ronin.

Deja un comentario

Adquiere tu Membresía Anual Wiser

Adquiere tu Membresía Anual Wiser y adquiere grandes beneficios

Más información