Las principales amenazas persistentes avanzadas (APT) de Corea del Norte han estado espiando silenciosamente a los contratistas de defensa de Corea del Sur durante al menos un año y medio, infiltrándose en unas 10 organizaciones.
La policía surcoreana fue liberada esta semana. los resultados de una investigación que descubrió campañas de espionaje simultáneas llevadas a cabo por andariel (también conocido como Onyx Sleet, Silent Chollima, Plutonio), kimsuky (también conocido como APT 43, Thallium, Velvet Chollima, Black Banshee) y el grupo Lazarus en general. Las autoridades no nombraron a las organizaciones de defensa de las víctimas ni proporcionaron detalles sobre los datos robados.
El anuncio se produce un día después de que Corea del Norte llevara a cabo su Primer ejercicio que simula un contraataque nuclear..
Persisten las APT de la RPDC
Pocos países son tan conscientes de las amenazas cibernéticas de Estados-nación extranjeros como Corea del Sur, y pocas industrias son tan conscientes como el ejército y la defensa. Y, sin embargo, lo mejor de Kim Siempre parece encontrar una manera.
“Las amenazas APT, particularmente aquellas impulsadas por actores a nivel estatal, son notoriamente difíciles de disuadir por completo”, lamenta Ngoc Bui, experto en ciberseguridad de Menlo Security. "Si una APT o un actor está muy motivado, hay pocas barreras que eventualmente no puedan superar".
En noviembre de 2022, por ejemplo, Lazarus apuntó a un contratista que tenía suficiente conocimiento cibernético como para operar redes internas y externas separadas. Sin embargo, los piratas informáticos se aprovecharon de su negligencia en la gestión del sistema que conecta a los dos. Primero, los piratas informáticos violaron e infectaron un servidor de red externo. Mientras las defensas estaban bajas para una prueba de red, atravesaron el sistema de conexión de red y penetraron en las entrañas. Luego comenzaron a recolectar y extraer “datos importantes” de las computadoras de seis empleados.
En otro caso que comenzó alrededor de octubre de 2022, Andariel obtuvo información de inicio de sesión de un empleado de una empresa que realizaba mantenimiento de TI remoto para uno de los contratistas de defensa en cuestión. Utilizando la cuenta secuestrada, infectó los servidores de la empresa con malware y extrajo datos relacionados con tecnologías de defensa.
La policía también destacó un incidente que duró de abril a julio de 2023, en el que Kimsuky explotó el servidor de correo electrónico de software colaborativo utilizado por la empresa asociada de una empresa de defensa. Una vulnerabilidad permitió a atacantes no autorizados descargar archivos grandes que se habían enviado internamente por correo electrónico.
Apagar a Lázaro
Bui explica que es útil para las autoridades que “los grupos de la RPDC como Lazarus frecuentemente reutilizan no sólo su malware sino también su infraestructura de red, lo que puede ser tanto una vulnerabilidad como una fortaleza en sus operaciones. Sus fallas en OPSEC y la reutilización de la infraestructura, combinadas con tácticas innovadoras como la infiltración en empresas, los hacen particularmente interesantes de monitorear”.
Los autores de cada una de las violaciones de la defensa fueron identificados gracias al malware que implementaron después del compromiso, incluidos los troyanos de acceso remoto (RAT) Nukesped y Tiger, así como a su arquitectura y direcciones IP. En particular, algunas de esas IP se remontan a Shenyang, China, y a un ataque de 2014 contra Korea Hydro & Nuclear Power Co.
"Se espera que continúen los intentos de piratería informática de Corea del Norte contra la tecnología de defensa", dijo la Agencia de Policía Nacional de Corea en un comunicado. La agencia recomienda que las empresas de defensa y sus socios utilicen autenticación de dos factores y cambien periódicamente las contraseñas asociadas con sus cuentas, acordonen las redes internas de las externas y bloqueen el acceso a recursos confidenciales para direcciones IP extranjeras no autorizadas e innecesarias.
- Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
- PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
- PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
- PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
- PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
- Fuente: https://www.darkreading.com/cyberattacks-data-breaches/north-korea-apt-triumvirate-spied-on-south-korean-defense-industry-for-years
