El grupo de hackers BlueNorOff, respaldado por Corea del Norte, se dirige a los clientes de Apple con un nuevo malware para macOS denominado ObjCShellz que puede abrir shells remotos en los dispositivos infectados.
BlueNorOff es un grupo de hackers con motivaciones financieras conocido por atacar bolsas de criptomonedas y organizaciones financieras como empresas de capital riesgo y bancos de todo el mundo.
La carga maliciosa observada por los analistas de malware de Jamf (etiquetada como ProcessRequest) se comunica con el blog swissborg[.]blog, un dominio controlado por el atacante registrado el 31 de mayo y alojado en 104.168.214[.]151 (una dirección IP que forma parte de la infraestructura de BlueNorOff).
Este dominio de comando y control (C2) imita los sitios web de una bolsa de criptomonedas legítima disponible en swissborg.com/blog. Todos los datos transferidos al servidor se dividen en dos cadenas y se unen en el otro extremo para eludir la detección estática.
"El uso de este dominio se alinea en gran medida con la actividad que hemos visto de BlueNorOff en lo que Jamf Threat Labs rastrea como la campaña Rustbucket", dijeron los investigadores de seguridad.
"En esta campaña, el hacker se pone en contacto con un objetivo afirmando estar interesado en asociarse u ofrecerle algo beneficioso bajo la apariencia de un inversor o cazatalentos. BlueNorOff a menudo crea un dominio que parece pertenecer a una empresa legítima de criptomonedas con el fin de mezclarse con la actividad de la red."
Macs ocultos
ObjCShellz es un malware basado en Objective-C, bastante diferente de otras cargas útiles maliciosas desplegadas en ataques anteriores de BlueNorOff. También está diseñado para abrir shells remotos en sistemas macOS comprometidos tras ser lanzado utilizando un vector de acceso inicial desconocido.
Los atacantes lo utilizaron durante la fase posterior a la explotación para ejecutar comandos en los Mac Intel y Arm infectados.
"Aunque bastante simple, este malware sigue siendo muy funcional y ayudará a los atacantes a llevar a cabo sus objetivos. Esto parece ser un tema con el último malware que hemos visto proveniente de este grupo APT", dijo Jamf.
"Basándonos en ataques anteriores realizados por BlueNorOff, sospechamos que este malware era una etapa tardía dentro de un malware de múltiples etapas entregado a través de ingeniería social".
El año pasado, Kaspersky vinculó a los hackers de BlueNorOff con una larga cadena de ataques dirigidos a startups de criptomonedas de todo el mundo, incluidos Estados Unidos, Rusia, China, India, Reino Unido, Ucrania, Polonia, República Checa, Emiratos Árabes Unidos, Singapur, Estonia, Vietnam, Malta, Alemania y Hong Kong.
En 2019, el Tesoro de Estados Unidos sancionó a BlueNorOff y a otros dos grupos de hackers norcoreanos (Lazarus Group y Andariel) por canalizar activos financieros robados al gobierno de Corea del Norte.
Según un informe de las Naciones Unidas de hace cuatro años, los hackers del Estado norcoreano ya habían robado unos 2.000 millones de dólares en al menos 35 ciberataques dirigidos contra bancos y bolsas de criptomonedas en más de una docena de países.
El FBI también atribuyó a los hackers Lazarus y BlueNorOff el mayor pirateo de criptomonedas de la historia, el pirateo del puente de red Ronin de Axie Infinity, que robó 173.600 Ethereum y 25,5 millones de tokens USDC por valor de más de 617 millones de dólares en aquel momento.
Fuente: bleepingcomputer