Nuevo malware de macOS vinculado a hackers norcoreanos

El nuevo malware de macOS, rastreado por Jamf como ObjCShellz, probablemente está siendo utilizado por hackers norcoreanos para atacar a intercambios de criptomonedas.

Un nuevo malware de macOS, probablemente utilizado por hackers norcoreanos para atacar a intercambios de criptomonedas, ha sido descubierto por la firma de seguridad Jamf. El grupo detrás del malware se cree que es el mismo grupo responsable del malware KandyKorn, reportado recientemente.

En su informe sobre KandyKorn, Kaspersky describe al grupo como 'Lazarus', un término general para hackers norcoreanos. Jamf describe a este grupo como BlueNoroff, un grupo específico dentro de Lazarus que está "motivado financieramente, apuntando con frecuencia a intercambios de criptomonedas, firmas de capital de riesgo y bancos".

El nuevo malware rastreado por Jamf como ObjCShellz se cree que forma parte de lo que se ha denominado la Campaña RustBucket. Los investigadores sospechan que es una parte tardía de un ataque de malware de múltiples etapas. "Es una shell remota bastante simplista", explica Jaron Bradley, director de Jamf Threat Labs, "pero efectiva". Permite al atacante entregar instrucciones de macOS desde un servidor C2 y recopilar las respuestas. El malware puede hacer casi todo lo que el usuario puede hacer en la Mac, pero en segundo plano.

Jamf no pudo explorar las intenciones específicas de los atacantes con este malware, ya que el servidor C2 (ubicado en 'swissborg[.]blog') se desactivó tan pronto como los investigadores investigaron para obtener más información. Esto no es inusual, ya que los atacantes a menudo desactivan una IP para evitar investigaciones, solo para volver a ponerla en funcionamiento en una fecha futura.

La dirección del servidor C2 está codificada en el malware. El malware podría reutilizarse como parte de un ataque de phishing de servicios financieros simplemente cambiando el enlace del C2 a un nombre de dominio similar.

Una característica ligeramente inusual está presente en este malware: registra las respuestas del servidor víctima a los comandos del malware, tanto éxitos como fallas. "La elección de registrar estas actividades es intrigante, ya que los atacantes que crean malware sofisticado típicamente omiten cualquier declaración que pueda dejar rastros", escriben los investigadores en su informe. En resumen, el malware en sí tiene elementos no sofisticados, mientras se piensa que los atacantes son un grupo sofisticado de APT de Corea del Norte.

A pesar de esto, Jamf está seguro de que el malware pertenece a BlueNoroff. El servidor C2 codificado ha estado asociado durante mucho tiempo con este grupo. La URL en el malware que resuelve esta IP, registrada el 31 de mayo de 2023, es esencialmente un typosquatting en el intercambio de criptomonedas legítimo swissborg[.]com.

Aunque Jamf no puede descubrir los medios de infección, el typosquatting sugiere una campaña de phishing dirigida a esta criptomoneda en particular. Esto sería típico de la campaña RustBucket de BlueNoroff; y el hecho de que la IP asociada tenga una historia con BlueNoroff prácticamente confirma la sospecha.

La naturaleza algo simplista del malware sigue siendo un enigma, suficiente para que Jamf lo destaque en su informe. Jamf no especula, pero las comparativamente pocas instancias conocidas del malware en la naturaleza, junto con la rapidez con la que el servidor C2 fue desactivado cuando fue investigado por Jamf, abre la posibilidad de que este sea un malware aún en desarrollo y pruebas, diseñado para formar parte de una futura campaña de phishing de servicios financieros.

Ya sea que se trate de un nuevo malware desarrollado para una nueva campaña o no, demuestra la determinación del grupo APT de Lazarus/BlueNoroff. "Este es un actor muy capaz", comentó Bradley, "y no se está frenando. Todavía están sacando malware que no ha sido detectado antes, lo que indica que su arsenal de malware probablemente sea bastante amplio más allá de lo que ya hemos visto".

Vale la pena señalar que, aunque el servidor C2 está fuera de línea en el momento de escribir esto, este malware no debe ser ignorado. Las infecciones desconocidas podrían volverse activas si el servidor C2 se vuelve a poner en línea. Como mínimo, la comunicación con la dirección IP 104.168.214[.]151 debería ser bloqueada, especialmente dado que esta dirección ha sido utilizada con otro malware de BlueNoroff.

Fuente y créditos: New MacOS Malware Linked to North Korean Hackers - SecurityWeek

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.