Pesquisadores de segurança confirmaram que KimJongRAT, um sofisticado Trojan de acesso remoto atribuído ao grupo Kimsuky e que se acredita ser apoiado pela Coreia do Norte, está sendo distribuído ativamente por meio de arquivos .hta armados, direcionados a usuários do Windows.
A descoberta revela uma cadeia de ataque cuidadosamente orquestrada, projetada para coletar credenciais confidenciais e informações do sistema de máquinas comprometidas.
A carga maliciosa está sendo distribuída sob o nome de arquivo enganoso National Tax Notice.pdf como um arquivo compactado denominado tax_notice.zip, com a entrega inicial ocorrendo por meio de e-mails de phishing.
Esta tática de engenharia social aproveita a confiança depositada nos avisos fiscais oficiais do governo para aumentar a probabilidade de interação do utilizador, visando particularmente indivíduos em regiões onde tais comunicações são esperadas.
Depois que um usuário extrai o arquivo, ele encontra um arquivo Ink disfarçado como um documento Tax Notice.pdf legítimo.
Essa técnica de ofuscação tenta enganar os usuários para que executem a carga maliciosa. Quando executado, o arquivo Ink decodifica um valor de URL codificado em Base64 usando mshta, da Microsoft. Aplicativo HTML utilitário host, para baixar uma carga adicional.
O sistema comprometido então redireciona e executa o arquivo tax.hta, progredindo na cadeia de infecção.
O carregador tax hta é implementado em VBScript e serve como o principal mecanismo de execução do ataque. Após a ativação, ele baixa arquivos maliciosos juntamente com documentos falsos enquanto tenta contornar as proteções de segurança usando Google Drive URLs.
Essa abordagem em vários estágios permite que os invasores evitem a detecção por soluções de segurança tradicionais que podem sinalizar conexões diretas ao servidor como suspeitas.
Uma característica crítica deste ataque é o seu mecanismo adaptativo de entrega de carga útil. O malware verifica o status do Windows Defender no sistema infectado e descarta diferentes cargas dependendo se o software de segurança está em execução ou desabilitado.
Se Windows Defender está desabilitado, o arquivo v3.log é baixado, baixando e executando um arquivo n64.log.
Este arquivo coleta vários dados comprometidos, incluindo informações do sistema, dados de armazenamento do navegador, chaves de criptografia, informações da carteira de criptomoeda, Contas de telegramacredenciais do Discord e chaves de criptografia do navegador.
Por outro lado, se o Windows Defender estiver ativado, o arquivo PC.log será baixado.
Esta variante executa operações semelhantes de coleta de dados, mas com mecanismos de persistência adicionais por meio de modificações no registro para garantir a coleta contínua de credenciais e a transmissão de informações do usuário.
Como os usuários podem detectar e prevenir a ameaça
O malware apresenta fortes características de segmentação específicas para o mercado doméstico, sugerindo uma criação precisa para atores de ameaças regionais.
As organizações são aconselhadas a manter as instalações atualizadas do Windows e do Windows Defender, ativar funções de visualização de extensão de arquivo em Explorador de arquivose tenha cuidado ao processar arquivos e extensões, especialmente aqueles recebidos por meio de comunicações por e-mail.
O uso de modelos de avisos fiscais localizados e elementos de interface em idioma coreano indicam que esta campanha foi projetada explicitamente para um público geográfico específico, tornando-a uma operação altamente direcionada, em vez de distribuição oportunista de malware.
Atividade recente confirma que os ataques baseados em HTA continuam a ser uma metodologia eficaz. A extensão do arquivo permite a execução direta da Internet usando mshta, ignorando os avisos de inicialização segura do Windows e evitando a execução de prompts de extensão de arquivo normalmente mostrados antes da execução dos arquivos.
Esta técnica continua a ser um dos métodos de ataque mais eficazes, frequentemente implementados por agentes de ameaças em todo o mundo.
A Microsoft continua a reforçar as implementações de segurança para combater tais ameaças.
Especialistas em segurança alertam que arquivos maliciosos relacionados associados a esta campanha são atualmente detectados como Trojan.Agent.LlhK.Gen, Trojan.Downloader.VBS.Agent e variantes relacionadas em plataformas de segurança, permitindo que os defensores identifiquem e bloqueiem essas ameaças em ambientes corporativos.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.