El malware 'KandyKorn' para macOS atrae a los ingenieros criptográficos

El malware 'KandyKorn' para macOS atrae a los ingenieros criptográficos

Marca de tiempo: 3 de noviembre de 2023 1:55 p.m.
El malware 'KandyKorn' para macOS atrae a los ingenieros criptográficos PlatoBlockchain Data Intelligence. Búsqueda vertical. Ai.

El infame grupo de amenaza persistente avanzada (APT) de Corea del Norte Lázaro ha desarrollado una forma de malware para macOS llamada "KandyKorn", que utiliza para atacar a los ingenieros de blockchain conectados a los intercambios de criptomonedas.

De acuerdo a una informe de los laboratorios de seguridad elástica, KandyKorn tiene un conjunto completo de capacidades para detectar, acceder y robar cualquier dato de la computadora de la víctima, incluidos servicios y aplicaciones de criptomonedas.

Para lograrlo, Lazarus adoptó un enfoque de varias etapas que involucraba una aplicación Python que se hacía pasar por un robot de arbitraje de criptomonedas (una herramienta de software capaz de beneficiarse de la diferencia en las tasas de criptomonedas entre plataformas de intercambio de criptomonedas). La aplicación presentaba nombres engañosos, incluidos “config.py” y “pricetable.py”, y se distribuía a través de un servidor público de Discord.

Luego, el grupo empleó técnicas de ingeniería social para alentar a sus víctimas a descargar y descomprimir un archivo zip en sus entornos de desarrollo, que supuestamente contenía el bot. En realidad, el archivo contenía una aplicación Python prediseñada con código malicioso.

Las víctimas del ataque creyeron que habían instalado un bot de arbitraje, pero al iniciar la aplicación Python se inició la ejecución de un flujo de malware de varios pasos que culminó con el despliegue de la herramienta maliciosa KandyKorn, dijeron los expertos de Elastic Security.

Rutina de infección del malware KandyKorn

El ataque comienza con la ejecución de Main.py, que importa Watcher.py. Este script verifica la versión de Python, configura directorios locales y recupera dos scripts directamente desde Google Drive: TestSpeed.py y FinderTools.

Estos scripts se utilizan para descargar y ejecutar un binario ofuscado llamado Sugarloader, responsable de dar acceso inicial a la máquina y preparar las etapas finales del malware, que también involucran una herramienta llamada Hloader.

El equipo de amenazas pudo rastrear toda la ruta de implementación del malware y llegó a la conclusión de que KandyKorn es la etapa final de la cadena de ejecución.

Los procesos de KandyKorn luego establecen comunicación con el servidor de los piratas informáticos, lo que le permite ramificarse y ejecutarse en segundo plano.

El malware no sondea el dispositivo ni las aplicaciones instaladas, sino que espera comandos directos de los piratas informáticos, según el análisis, lo que reduce la cantidad de puntos finales y artefactos de red creados, limitando así la posibilidad de detección.

El grupo de amenazas también utilizó la carga binaria reflectante como técnica de ofuscación, lo que ayuda al malware a eludir la mayoría de los programas de detección.

"Los adversarios suelen utilizar técnicas de ofuscación como ésta para eludir las capacidades antimalware tradicionales basadas en firmas estáticas", señala el informe.

Intercambios de criptomonedas bajo fuego

Los intercambios de criptomonedas han sufrido una serie de Ataques de robo de claves privadas en 2023, la mayoría de los cuales se han atribuido al grupo Lazarus, que utiliza sus ganancias mal habidas para financiar al régimen norcoreano. El FBI descubrió recientemente que el grupo había movió 1,580 bitcoins de múltiples atracos de criptomonedas, manteniendo los fondos en seis direcciones de bitcoin diferentes.

En septiembre, los atacantes fueron descubiertos. Dirigido a modeladores 3D y diseñadores gráficos. con versiones maliciosas de una herramienta de instalación legítima de Windows en una campaña de robo de criptomonedas que ha estado en curso desde al menos noviembre de 2021.

Un mes antes, los investigadores descubrieron dos campañas de malware relacionadas, denominadas CherryBlos y FakeTrade, que apuntaba a usuarios de Android para robar criptomonedas y otras estafas con motivos financieros.

La creciente amenaza de la RPDC

Según un informe reciente de Mandiant advirtió.

Por ejemplo, el líder del país, Kim Jong Un, tiene una navaja suiza APT llamada Kimsuky, que continúa extendiendo sus zarcillos por todo el mundo, lo que indica que no se deja intimidar por la investigadores acercándose. Kimsuky ha pasado por muchas iteraciones y evoluciones, incluyendo una división total en dos subgrupos.

Mientras tanto, el grupo de Lázaro parece haber añadido una Nueva puerta trasera compleja y aún en evolución. a su arsenal de malware, detectado por primera vez en un ciberataque exitoso de una empresa aeroespacial española.

Sello de tiempo:

Mas de Lectura oscura