El grupo Kimsuky vinculado a Corea del Norte cambia a archivos de ayuda de HTML compilados en ciberataques en curso

«Si bien originalmente diseñados para documentación de ayuda, los archivos CHM también han sido explotados con fines maliciosos, como la distribución de malware, porque pueden ejecutar JavaScript al abrirse», dijo la empresa.

El archivo CHM se propaga dentro de un archivo ISO, VHD, ZIP o RAR, y al abrirlo se ejecuta un Script de Visual Basic (VBScript) para establecer persistencia y comunicarse con un servidor remoto para obtener una carga útil de próxima etapa responsable de recopilar y extraer datos sensibles.

Rapid7 describió los ataques como continuos y en evolución, dirigidos a organizaciones con sede en Corea del Sur. También identificó una secuencia de infección alternativa que emplea un archivo CHM como punto de partida para dejar caer archivos por lotes encargados de recopilar la información y un script de PowerShell para conectarse al servidor C2 y transferir los datos.

«El modus operandi y la reutilización de código y herramientas están mostrando que el actor de amenazas está utilizando activamente y refinando/rediseñando sus técnicas y tácticas para recopilar inteligencia de las víctimas», dijo.

El desarrollo se produce cuando Symantec, propiedad de Broadcom, reveló que los actores de Kimsuky están distribuyendo malware que se hace pasar por una aplicación de una entidad pública coreana legítima.

«Una vez comprometido, el dropper instala un malware de puerta trasera llamado Endoor», dijo Symantec. «Esta amenaza permite a los atacantes recopilar información sensible de la víctima o instalar malware adicional».

Vale la pena señalar que Endoor, basado en Golang, junto con Troll Stealer (también conocido como TrollAgent), ha sido recientemente desplegado en relación con ataques cibernéticos que tienen como objetivo a usuarios que descargan programas de seguridad desde el sitio web de una asociación relacionada con la construcción en Corea.