MoonPeak RAT en constante evolución vinculado al espionaje norcoreano

Un actor de amenazas con probables vínculos con el notorio grupo Kimsuky de Corea del Norte está difundiendo una nueva versión del malware de código abierto XenoRAT para robar información, utilizando una infraestructura compleja de servidores de comando y control (C2), sistemas de preparación y máquinas de prueba.

La variante, rastreada por investigadores de Cisco Talos como MoonPeak tras su reciente descubrimiento, está en desarrollo activo y ha seguido evolucionando en pequeños incrementos durante los últimos meses, lo que dificulta la detección y la identificación.

MoonPeak: una variante de XenoRAT

«Aunque MoonPeak contiene la mayoría de las características del XenoRAT original, nuestro análisis encontró cambios consistentes en todas las variantes», dijeron los investigadores de Cisco Talos Asheer Malhotra, Guilherme Venere y Vitor Venturs. dijo en una publicación de blog esta semana«Esto muestra que los actores de amenazas están modificando y evolucionando el código independientemente de la versión de código abierto», señalaron.

XenoRAT es malware de código abierto Codificado en C#, estuvo disponible de forma gratuita en GitHub en octubre pasado. El troyano tiene varias funciones poderosas, que incluyen registro de teclas, capacidades de omisión de control de acceso de usuarios (UAC) y una función informática de red virtual oculta que permite a los actores de amenazas utilizar en secreto un sistema comprometido al mismo tiempo que la víctima.

Cisco Talos observó lo que describió como “invasión norcoreana patrocinada por el Estado”. Nexo entre actores de amenazas«, rastreado como UAT-5394, utilizó MoonPeak en ataques a principios de este año. Las tácticas, técnicas y procedimientos (TTP) del atacante y su infraestructura se superponen significativamente con el grupo Kimsuky. conocido desde hace mucho tiempo por sus actividades de espionaje Se ataca a organizaciones de numerosos sectores, particularmente en la investigación y políticas de armas nucleares.

La superposición llevó a Cisco Talos a sospechar que el grupo de actividad UAT-5394 observado era el propio Kimsuky u otra APT norcoreana que utilizaba la infraestructura de Kimsuky. Por ahora, en ausencia de pruebas contundentes, el proveedor de seguridad ha decidido al menos perseguir a UAT-5394 como un grupo independiente de Amenaza Persistente Avanzada (APT) de Corea del Norte.

Modificaciones constantes de MoonPeak

Según los investigadores de Cisco Talos, su análisis de MoonPeak mostró que los atacantes realizaron varios cambios en el código XenoRAT conservando muchas de sus funciones principales. Entre los primeros cambios estuvo cambiar el espacio de nombres del cliente de «cliente xeno rat» a «cmdline» para garantizar que otras variantes de XenoRAT no funcionen cuando se conectan a un servidor MoonPeak, según Cisco Talos.

«El cambio de espacio de nombres evita que los implantes no autorizados se conecten a su infraestructura y también evita que sus propios implantes se conecten a los servidores operativos XenoRAT C2», afirma la publicación del blog.

Parece que se han realizado otros cambios para ocultar el malware y hacerlo más difícil de analizar. Esto implicó el uso de un modelo computacional llamado máquinas de estado para realizar la ejecución de malware de forma asincrónica, haciendo que el programa fluya menos lineal y, por lo tanto, más difícil de entender. Esto hace que la tarea de realizar ingeniería inversa del malware sea más desafiante y requiera más tiempo.

Además de los cambios en el malware en sí, Cisco Talos también observó que el actor de amenazas estaba modificando continuamente su infraestructura. Uno de los cambios más notables se produjo a principios de junio, poco después de que los investigadores de AhLabs informaran sobre una variante anterior de XenoRAT que utilizaba UAT-5394. La divulgación llevó al actor de amenazas a dejar de alojar sus cargas útiles en servicios de nube pública y, en su lugar, trasladarlas a sistemas operados y controlados de forma privada para que C2 preparara y probara su malware.

Al menos dos de los servidores que Cisco Talos observó en UAT-5394 parecían estar conectados a otro malware. En un caso, el proveedor de seguridad observó que un servidor MoonPeak se conectaba a un servidor C2 conocido para Quasar RAT, una herramienta de malware asociada con el grupo Kimsuky.

«Un análisis de las muestras de MoonPeak muestra una evolución del malware y sus correspondientes componentes C2 que justificaron que los actores de amenazas implementaran sus variantes de implante varias veces en sus máquinas de prueba», dijeron los investigadores de Cisco Talos. El objetivo, agregaron, parece ser introducir cambios suficientes para dificultar la detección y la identificación y, al mismo tiempo, garantizar que ciertas variantes de MoonPeak solo funcionen con ciertos servidores C2.