NUEVA ACTIVIDAD DEL MALWARE M2RAT

17/02/2023

BOLETÍN NRO 2023-107

El grupo RedEyes quien supuestamente es patrocinado por  por el estado norcoreano, ha añadido recientemente a sus herramientas un nuevo malware evasivo llamado M2RAT. El grupo está utilizando este malware junto con la técnica de la estenografía para atacar a usuarios concretos y robar información personal.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: ---

Severidad:   ALTA

Investigadores descubrieron que los recientes ataques comenzaron en enero y que el APT37 (otra denominación de RedEyes) está distribuyendo malware a través de una antigua vulnerabilidad en Hangul Encapsulated PostScript (EPS).

La CVE-2017-8291 es una vulnerabilidad de confusión de tipo en Artifex Ghostscript, que puede ser explotada para ejecutar código arbitrario.

Los atacantes envían correos electrónicos de phishing que contienen archivos adjuntos maliciosos que desencadenan la explotación de la vulnerabilidad Hangul EPS.

Este archivo de imagen JPG usa esteganografía para evadir la detección de la red. El archivo PE introduce sigilosamente el ejecutable M2RAT en el sistema y lo inyecta en explorer[.]exe y añade persistencia al sistema. En esta campaña, los atacantes parecían conscientes de que los objetivos utilizaban una versión antigua del procesador de textos Hangul compatible con EPS.

M2RAT realiza funciones básicas de malware de control remoto, como keylogging, robo de datos y ejecución o terminación de comandos, y realiza capturas de pantalla del escritorio periódicamente. El malware utiliza una sección de memoria compartida para la comunicación C2 y la exfiltración de datos para dificultar el análisis. 

Además, transmite directamente los datos robados como un archivo RAR comprimido y protegido con contraseña al servidor del atacante, en lugar de almacenarlos en el sistema de la víctima. Por último, borra la copia local de la memoria para eliminar cualquier rastro de los datos robados.

Indicadores de Compromiso

Dominio

360tecnologico[.]com

elearning[.]or[.]kr

informacoesdiaria[.]com

informatify[.]net

playtime74[.]com

wallup[.]net

ztec100[.]com

Hash

MD5: 7bab405fbc6af65680443ae95c30595d

SHA-256: f2bb03cd2570c2ba1f2f43b2dd70e484881b28bf0ad96306716f6455abef1a06

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: APT37 Exploits Hangul Vulnerability with Highly-Evasive M2RAT Malware
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​