Troyano SuperBear implementado contra objetivos de Corea del Sur

Un reciente ataque de phishing, posiblemente dirigido a organizaciones de la sociedad civil en Corea del Sur, ha descubierto un innovador troyano de acceso remoto llamado SuperBear. La infracción se dirigió específicamente a un activista anónimo que, a finales de agosto de 2023, recibió un archivo LNK malicioso de una dirección que pretendía ser miembro de la organización sin fines de lucro Interlabs, según un nuevo informe de Interlabs.

SuperBear utiliza una cadena de ataque de varias etapas

Tras la ejecución, el archivo LNK activa un comando de PowerShell para ejecutar un script de Visual Basic, que luego recupera las cargas útiles de las etapas posteriores de un sitio web de WordPress legítimo pero comprometido. Esta carga útil incluye el binario Autoit3.exe (denominado "solmir.pdb") y un script AutoIt ("solmir_1.pdb") que se ejecuta utilizando el primero.

El script AutoIt, a su vez, emplea una técnica de inyección de procesos conocida como proceso hueco, donde se inserta código malicioso en un proceso suspendido. En este caso, crea una instancia de Explorer.exe para inyectar una RAT desconocida, llamada SuperBear, que establece comunicación con un servidor remoto para la filtración de datos, la descarga y ejecución de comandos de shell adicionales y bibliotecas de enlaces dinámicos (DLL).

El investigador de Interlab, Ovi Liber, explicó: "La acción predeterminada del servidor C2 parece indicar a los clientes que exfiltren y procesen datos del sistema", y agregó que el malware se gana su nombre porque "la DLL maliciosa intentará generar un nombre de archivo aleatorio para sí misma y, si falla, , se llamará 'SuperBear'".

El ataque se atribuye tentativamente a un actor-estado-nación de Corea del Norte conocido como Kimsuky (también conocido como APT43 o por alias como Emerald Sleet, Nickel Kimball y Velvet Chollima), ya que tiene similitudes con el vector de ataque inicial y el PowerShell. comandos utilizados.

A principios de febrero de este año, Interlab reveló que actores de estados-nación de Corea del Norte atacaron a un periodista surcoreano con un malware para Android llamado RambleOn como parte de una campaña de ingeniería social.