El APT de Corea del Norte evita el bloqueo de macros con LNK Switch-Up

El grupo de amenazas APT37 de Corea del Norte proporciona nueva evidencia de cómo los atacantes han pasado a usar LNK, o archivos de acceso directo, para distribuir cargas maliciosas después de que Microsoft el año pasado comenzara a bloquear macros de forma predeterminada para evitar la entrega de malware a través de documentos de Office.

Check Point Research, que ha estado rastreando APT37 durante años, informó esta semana que el actor de amenazas usó archivos LNK para propagar un troyano de acceso remoto (RAT) llamado RokRAT en sistemas pertenecientes a entidades asociadas con asuntos internos y externos de Corea del Sur.

Disfrazados de documentos legítimos

Los archivos LNK terminaron en los sistemas de destino disfrazados de documentos legítimos. En un ataque analizado por Check Point, el atacante disfrazó el archivo LNK malicioso como un PDF y lo colocó en un archivo ZIP junto con tres documentos legítimos, pero robados, de la industria libia del petróleo y el gas. En un ataque de abril de 2023, el actor de amenazas usó un ISO para colocar dos LNK maliciosos que supuestamente contenían contenido relacionado con la diplomacia de Corea del Sur y decisiones políticas relacionadas con Corea del Norte.

Los investigadores de Check Point encontraron que en ambos casos, cuando un usuario hacía clic en el archivo LNK, desencadenaba la ejecución de un script de PowerShell que extraía un documento del LNK, lo descargaba en el disco y lo abría. El documento era un señuelo, engañando a las víctimas haciéndoles creer que habían abierto un archivo PDF legítimo o un archivo de procesador de texto Hangul de Corea del Sur (HWP).

Sin embargo, los scripts de PowerShell también extrajeron silenciosamente un script de BAT del LNK, que a su vez ejecuta otro script de PowerShell para descargar una carga útil de OneDrive, lo que resultó en la instalación de RokRAT en el sistema.

Sergey Shykevich, Gerente del Grupo de Inteligencia de Amenazas en Check Point, dice que este tipo de proceso de entrega de malware de varios pasos puede dificultar el análisis para el defensor. Por ejemplo, si el archivo .lnk se disfraza como un archivo PDF, después de que la víctima haga clic en el archivo .lnk, inicia un PowerShell que carga dos archivos.

El primero es un PDF legítimo que engaña a la víctima haciéndole creer que todo está bien. El otro es un «script malicioso que ejecuta un nuevo PowerShell desde un OneDrive específico y una carga útil que carga RokRAT», dice. “La etapa múltiple dificulta rastrear toda la cadena de infección y, cuando se descubre malware en la red, comprender el vector original de infección.

Cambiar las tácticas iniciales de infección

APT37, también conocido como ScarCruft y Reaper, ha estado activo desde al menos 2012. El grupo se ha asociado con numerosas campañas a lo largo de los años, incluida una denominada Operación Amanecer que se dirigía a objetivos diplomáticos de Corea del Sur explotando un error de día cero y otro que incluía una puerta trasera puerta trasera de oro dirigido a periodistas de Corea del Sur.

El cambio de APT37 al uso de archivos LNK para la entrega de malware es parte de una tendencia que comenzó en serio de alguna manera cuando Microsoft ha decidido desactivar las macros los valores predeterminados son los archivos descargados de Internet en el último año. Antes de que Microsoft anunciara su decisión por primera vez -en febrero de 2022- alrededor del 31% de todas las amenazas según un estudio involucrado macros en documentos de Office. Ese número se redujo drásticamente después de que la decisión de Microsoft entró en vigencia en la segunda mitad de 2022, después de que pareció por un momento que la compañía podría no pasaría con el plano

enlace de concha, o los archivos LNK son archivos de Windows que proporcionan accesos directos a otros archivos, carpetas y controladores en el sistema. Al hacer clic en un archivo LNK, un usuario puede abrir el archivo o la aplicación asociada sin tener que navegar manualmente hasta la aplicación. Los archivos LNK brindan al usuario una forma conveniente de acceder a archivos y software de uso común y, en general, se consideran seguros.

Archivo LNK atractivo para ciberatacantes

Pero hay características de los archivos LNK que los hacen ideales para los atacantes, dice Shykevich. «La razón principal por la que LNK es tan efectivo es que el atacante puede hacer que el archivo LNK parezca casi cualquier otro tipo de archivo», dice. Señala archivos PDF y Doc como ejemplos. “Además, le permite al atacante ejecutar fácilmente diferentes tipos de scripts [such as] Scripts BAT en el caso de APT37”, señala Shykevich. El mayor desafío para el usuario es prestar suficiente atención a dichos archivos y asegurarse de que realmente sean archivos LNK.

Durante el año pasado, los atacantes utilizaron archivos LNK para propagar malware, como lo señalaron Emotet, IcedID y Quakbot, McAfee y otros. Actores de amenazas estuvieron involucrados en los ataques. Spam, correos electrónicos de phishing y URL maliciosas para entregar los LNK a los usuarios. La creciente aceptación de esta táctica por parte de los atacantes también ha generado una variedad de herramientas comerciales de generación de enlaces para crear archivos LNK maliciosos. Algunos ejemplos de estas herramientas son Creador de enlaces cuánticosque comenzó a enviarse el año pasado a precios que van desde alrededor de $ 200 por mes hasta alrededor de $ 1,600 por acceso de por vida, constructor MLNK disponible por $ 125 por compilación y paquete de macros.