El Grupo Lazarus, un actor de amenazas vinculado a Corea del Norte, ha sido asociado con una campaña que distribuye tres tipos diferentes de malware multiplataforma: PondRAT, ThemeForestRAT y RemotePE. Esta actividad fue observada por Fox-IT del Grupo NCC en 2024.
Objetivo de la campaña
El ataque tuvo como objetivo una organización perteneciente al sector de las finanzas descentralizadas (DeFi), lo que finalmente provocó la vulneración del sistema de un empleado. A partir de ahí, el actor realizó el descubrimiento desde dentro de la red utilizando diferentes RAT en combinación con otras herramientas, por ejemplo, para recopilar credenciales o conexiones proxy.
Metodología del ataque
La cadena de ataque comienza cuando el actor se hace pasar por un empleado de una empresa comercial en Telegram y utiliza sitios web falsos que se hacen pasar por Calendly y Picktime para programar una reunión con la víctima. Aunque actualmente se desconoce el vector de acceso inicial exacto, se aprovecha esta posición para desplegar un cargador llamado PerfhLoader, que posteriormente instala PondRAT.
PondRAT es un malware conocido que se considera una variante simplificada de POOLRAT (también conocido como SIMPLESEA). La empresa de ciberseguridad afirmó que existen pruebas que sugieren que en el ataque se utilizó un exploit Zero-Day del navegador Chrome.
Herramientas y componentes del malware
Junto con PondRAT, se incluyen otras herramientas como un capturador de pantalla, un keylogger, un ladrón de credenciales y cookies de Chrome, Mimikatz, FRPC y programas proxy como MidProxy y Proxy Mini.
Características de los malware
PondRAT es un RAT sencillo que permite al operador leer y escribir archivos, iniciar procesos y ejecutar shellcode. Fox-IT añadió que data de al menos 2021.
El atacante utilizó PondRAT en combinación con ThemeForestRAT durante aproximadamente tres meses, para posteriormente limpiar e instalar el RAT más sofisticado llamado RemotePE. ThemeForestRAT se ejecuta directamente en memoria, ya sea mediante PondRAT o un cargador dedicado.
ThemeForestRAT monitoriza nuevas sesiones de Escritorio Remoto (RDP) y contacta con un servidor C2 mediante HTTP(S) para recuperar hasta veinte comandos que enumeran archivos/directorios, realizan operaciones con archivos, ejecutan comandos, prueban la conexión TCP, marcan la hora de un archivo basándose en otro archivo en el disco, obtienen la lista de procesos, descargan archivos, inyectan código shell, generan procesos e hibernan durante un tiempo específico.
Fox-IT afirmó que ThemeForestRAT comparte similitudes con un malware con nombre en código RomeoGolf, utilizado por el Grupo Lazarus en el destructivo ataque de borrado de noviembre de 2014 contra Sony Pictures Entertainment (SPE). Novetta lo documentó como parte de una iniciativa colaborativa conocida como Operación Blockbuster.
RemotePE: un malware avanzado
RemotePE, por otro lado, se recupera de un servidor C2 mediante RemotePELoader, que, a su vez, se carga mediante DPAPILoader. Escrito en C++, RemotePE es un RAT más avanzado, probablemente reservado para objetivos de alto valor.
Fox-IT afirmó que PondRAT es un RAT primitivo que ofrece poca flexibilidad; sin embargo, como carga inicial, cumple su propósito. Para tareas más complejas, el actor utiliza ThemeForestRAT, que ofrece más funcionalidad y permanece oculto, ya que se carga solo en memoria.