El actor de amenazas vinculado a Corea del Norte conocido como Lazarus Group ha sido atribuido a una campaña de ingeniería social que distribuye tres piezas diferentes de malware multiplataforma llamadas PondRAT, ThemeForestRAT y RemotePE.
El ataque, observado por Fox-IT de NCC Group en 2024, tuvo como objetivo una organización del sector de finanzas descentralizadas (DeFi), lo que finalmente provocó la vulneración del sistema de un empleado.
"A partir de ahí, el actor realizó el descubrimiento desde dentro de la red utilizando diferentes RAT en combinación con otras herramientas, por ejemplo, para recopilar credenciales o conexiones proxy", explicaron Yun Zheng Hu y Mick Koomen . "Posteriormente, el actor cambió a un RAT más sigiloso, lo que probablemente indica una siguiente etapa del ataque".
La cadena de ataque comienza con el actor de amenazas haciéndose pasar por un empleado existente de una empresa comercial en Telegram y utilizando sitios web falsos haciéndose pasar por Calendly y Picktime para programar una reunión con la víctima.
Aunque actualmente se desconoce el vector de acceso inicial exacto, se aprovecha esta posición para desplegar un cargador llamado PerfhLoader, que posteriormente instala PondRAT , un malware conocido que se considera una versión simplificada de POOLRAT (también conocido como SIMPLESEA). La empresa de ciberseguridad afirmó que existen pruebas que sugieren que en el ataque se utilizó un exploit de día cero del navegador Chrome, entonces en uso.
Junto con PondRAT también se entregan otras herramientas, entre las que se incluyen un capturador de pantalla, un keylogger, un ladrón de credenciales y cookies de Chrome, Mimikatz, FRPC y programas proxy como MidProxy y Proxy Mini.
"PondRAT es una RAT sencilla que permite al operador leer y escribir archivos, iniciar procesos y ejecutar shellcode", declaró Fox-IT, añadiendo que data de al menos 2021. "El actor usó PondRAT en combinación con ThemeForestRAT durante aproximadamente tres meses, para luego limpiar e instalar la RAT más sofisticada llamada RemotePE".
El malware PondRAT está diseñado para comunicarse a través de HTTP(S) con un servidor de comando y control (C2) codificado para recibir más instrucciones; ThemeForestRAT se ejecuta directamente en la memoria ya sea a través de PondRAT o un cargador dedicado.
ThemeForestRAT, al igual que PondRAT, monitorea nuevas sesiones de Escritorio remoto (RDP) y contacta a un servidor C2 a través de HTTP(S) para recuperar hasta veinte comandos para enumerar archivos/directorios, realizar operaciones con archivos, ejecutar comandos, probar la conexión TCP, marcar el tiempo de un archivo en función de otro archivo en el disco, obtener una lista de procesos, descargar archivos, inyectar código de shell, generar procesos e hibernar por una cantidad de tiempo específica.
Fox-IT afirmó que ThemeForestRAT comparte similitudes con un malware con nombre en código RomeoGolf, utilizado por el Grupo Lazarus en el ataque destructivo de noviembre de 2014 contra Sony Pictures Entertainment (SPE). Novetta lo documentó como parte de una iniciativa conjunta conocida como Operación Blockbuster .
RemotePE, por otro lado, se recupera de un servidor C2 mediante RemotePELoader, que, a su vez, se carga mediante DPAPILoader. Escrito en C++, RemotePE es una RAT más avanzada, probablemente reservada para objetivos de alto valor.
"PondRAT es una RAT primitiva que ofrece poca flexibilidad; sin embargo, como carga útil inicial cumple su propósito", afirmó Fox-IT. "Para tareas más complejas, el actor utiliza ThemeForestRAT, que ofrece más funcionalidad y pasa desapercibido, ya que se carga únicamente en memoria".
Fuente: TheHackerNews.