El FBI advierte sobre suplantación de correo electrónico por parte del actor de amenazas norcoreano Kimsuky
El actor de amenazas norcoreano Kimsuky está aprovechando nuevas tácticas de suplantación de correo electrónico en sus recientes campañas de spearphishing, advirtieron conjuntamente el Buró Federal de Investigaciones (FBI), el Departamento de Estado de EE. UU. y la Agencia de Seguridad Nacional (NSA) el jueves en un aviso conjunto.
Kimsuky, también conocido como Emerald Sleet o APT43, es una subunidad de la Oficina General de Reconocimiento (RGB) del ejército norcoreano y es conocido por sus campañas de spearphishing destinadas a recopilar inteligencia sobre asuntos que afectan los intereses norcoreanos. Esto incluye información sobre eventos geopolíticos y las estrategias de política exterior de los adversarios de Corea del Norte.
El modus operandi del grupo es hacerse pasar por periodistas legítimos, grupos de expertos, académicos y otros expertos en asuntos del este asiático, convenciendo a las víctimas de abrir enlaces o documentos maliciosos bajo el pretexto de ofrecer una entrevista, una charla o alguna otra oportunidad.
Los atacantes luego despliegan malware que otorga un mayor acceso a la red y cuentas de la víctima, lo que les permite robar documentos pertinentes, registros de comunicación y credenciales adicionales.
En campañas recientes, que abarcan desde finales de 2023 hasta principios de 2024, Kimsuky ha estado aprovechando las debilidades en las políticas de Autenticación de Mensajes Basada en el Dominio de DNS (DMARC) para falsificar los dominios de envío de correo electrónico de las organizaciones que están suplantando, otorgando una legitimidad adicional a sus esfuerzos de spearphishing, según indica el aviso.
Los correos electrónicos de phishing de Kimsuky reportados al Centro de Denuncias de Delitos en Internet (IC3) del FBI se observó que tenían encabezados que indicaban que los correos electrónicos pasaban las verificaciones de Framework de Política del Remitente (SPK) y DKIM (Mail Identificado por Claves de Dominio), pero fallaban en las verificaciones de DMARC.
Esto indica que el atacante podría haber logrado enviar el correo electrónico desde el cliente de correo electrónico de una organización legítima, pero manipuló el campo "De" para mostrar un dominio de correo electrónico que no coincide con el host de correo electrónico real. DMARC está destinado a ayudar a las organizaciones a filtrar correos electrónicos sospechosos de dominios "De" manipulados, pero esto requiere que las organizaciones establezcan políticas DMARC para poner en cuarentena o rechazar estos correos electrónicos.
Los encabezados de los correos electrónicos de spearphishing reportados muestran un resultado de autenticación de "dmarc=fail" seguido de "p=none", lo que significa que no se toma ninguna acción a pesar del fallo. Esto permitió que el correo electrónico se pasara a la bandeja de entrada del destinatario sin una clara advertencia sobre el dominio "De" falsificado.
El aviso insta a las organizaciones a configurar sus políticas DMARC para poner en cuarentena o rechazar correos electrónicos con dominios desalineados, como los aprovechados por Kimsuky para la suplantación de correo electrónico. La advertencia también señala algunas señales de alerta de que un correo electrónico puede estar relacionado con la campaña de Kimsuky, incluida la adjunción de documentos que requieren que el usuario "habilite macros" para ver el documento, e instrucciones para contactar al remitente en una dirección de correo electrónico diferente a la que aparece en el campo "De".
"Dado que estas campañas están en curso, la aplicación de la ley y los objetivos pueden anticiparse a Kimsuky detectando las fases de preparación y perfilando al atacante y la campaña. La clave para esto es la detección temprana de dominios e IPs que Kimsuky tiene la intención de usar", dijo Malachi Walker, asesor de seguridad de DomainTools, a SC Media por correo electrónico. "Al emitir este aviso, el FBI, el Departamento de Estado de EE. UU. y la Agencia de Seguridad Nacional pueden dar más aviso a los posibles objetivos y ayudar a conectarlos con la tecnología avanzada y la información que necesitan para detectar y bloquear esta campaña".
Kimsuky ha demostrado adaptar sus tácticas utilizando nuevas herramientas y aprovechando nuevas vulnerabilidades; el grupo norcoreano fue uno de los cinco actores de amenazas patrocinados por el estado descubiertos por Microsoft que estaban utilizando ChatGPT para diversas tareas, reveló la compañía en febrero.
El grupo también apuntó a la vulnerabilidad crítica de ConnectWise ScreenConnect divulgada a fines de febrero con una nueva cepa de malware llamada ToddlerShark, intentando explotar la vulnerabilidad días después de su publicación.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario