NineRAT Malware apunta a sistemas y utiliza tácticas de Lazarus Hacker Group
Cisco Talos descubrió recientemente una nueva campaña cibernética orquestada por el Grupo Lazarus, denominada "Operación Blacksmith". Esta operación emplea tres nuevas familias de malware basadas en DLang, dos de las cuales se identifican como troyanos de acceso remoto (RAT). En particular, una de estas RAT utiliza bots y canales de Telegram como medio de comunicación de comando y control (C2), lo que le valió el apodo de "NineRAT", mientras que la RAT que no está basada en Telegram tiene la etiqueta "DLRAT". Además, en la operación se identificó un descargador basado en DLang conocido como "BottomLoader".
Este descubrimiento marca un cambio significativo en las tácticas empleadas por el Grupo Lazarus, un grupo APT (Amenaza Persistente Avanzada) norcoreano. Durante los últimos 18 meses, Cisco Talos ha revelado tres RAT distintas desarrolladas utilizando tecnologías no convencionales como QtFramework, PowerBasic y la incorporación más reciente, DLang.
En particular, se observaron paralelismos entre la Operación Blacksmith de Lazarus y las tácticas, técnicas y procedimientos (TTP) asociados con el grupo Onyx Sleet, patrocinado por el estado de Corea del Norte, también reconocido como el grupo Andariel APT. Andariel es ampliamente considerado un subgrupo bajo el paraguas de Lazarus, y esta campaña demuestra un ataque oportunista a empresas globales que exponen la infraestructura vulnerable a la explotación de vulnerabilidades de n días, incluido el conocido CVE-2021-44228 (Log4j). Lazarus se centró específicamente en industrias como la manufactura, la agricultura y la seguridad física.
La Operación Blacksmith implicó la explotación de Log4j e introdujo una RAT basada en DLang previamente desconocida, NineRAT, que utilizaba Telegram para la comunicación C2. NineRAT se construyó inicialmente alrededor de mayo de 2022 y se utilizó por primera vez en la campaña aproximadamente un año después, apuntando a una organización agrícola sudamericana en marzo de 2023 y a una entidad manufacturera europea en septiembre de 2023.
Los análisis de Cisco Talos revelaron una superposición con ataques maliciosos revelados por Microsoft en octubre de 2023, atribuidos a Onyx Sleet. Esto se alinea con la comprensión más amplia de que Lazarus APT opera como una organización coordinadora que abarca varios subgrupos, cada uno de los cuales persigue diferentes objetivos relacionados con la defensa, la política, la seguridad nacional y la investigación y el desarrollo de Corea del Norte.
Los usuarios de computadoras afectados por NineRAT Malware deben tomar medidas y utilizar una herramienta antimalware no solo para prevenir futuros ataques sino también para eliminar por completo la amenaza.
