Un grupo de ciberdelincuentes norcoreanos está utilizando el troyano RokRat en una nueva ola de campañas contra el gobierno de Corea del Sur.
El troyano de acceso remoto (RAT) se ha conectado a ataques basados en la explotación de un procesador de textos en idioma coreano que se utiliza comúnmente en Corea del Sur desde hace varios años; concretamente, el compromiso de los documentos de la Oficina de Hangul (.HWP).
En el pasado, el malware se ha utilizado en campañas de phishing que atraen a las víctimas a través de correos electrónicos que contienen archivos adjuntos con un tema político, como la unificación de Corea y los derechos humanos de Corea del Norte.
Se cree que RokRat es obra de APT37, también conocido como ScarCruft, Reaper y Group123. Activo desde 2012, por lo menos, el Grupo de Amenazas Persistentes Avanzadas (APT) es probablemente patrocinado por el estado, y potencialmente encargado de atacar entidades de valor para el partido gobernante de Corea del Norte.
Según el investigador de seguridad de Malwarebytes, Hossein Jazi, mientras que las campañas anteriores se han centrado en la explotación de los archivos .HWP, una nueva muestra de documentos de phishing atribuible al APT37 revela un pivote en las tácticas del grupo.
En una entrada de blog de esta semana, la compañía de seguridad cibernética describió el descubrimiento de un nuevo documento malicioso subido a Virus Total el 7 de diciembre. El archivo de muestra afirma ser una solicitud de reunión fechada a principios de 2020, lo que sugiere que los ataques han tenido lugar durante el año pasado.
Con información de: Security Affairs.