Lazarus Deploys RemotePE Memory-Only RAT Against Financial and Crypto Firms

Introducción

El grupo de hackers conocido como Lazarus ha estado activo desde el año 2009, asociado en gran medida con Corea del Norte. Recientemente, ha lanzado una nueva herramienta de ataque conocida como RemotePE, una versión de RemotePE conmemorativa que se caracteriza por ser un Remote Access Tool (RAT) de tipo memory-only. Esta nueva herramienta es especialmente peligrosa debido a su capacidad para infiltrarse en sistemas sin dejar evidencia en el disco, lo que dificulta la detección y la eliminación.

Descripción de RemotePE

RemotePE es una toolkit de ataque que se ejecuta en la memoria del sistema y no dejan rastros en el disco. Este atributo lo hace altamente difícil de detectar y eliminar por los sistemas de seguridad tradicionales. La herramienta es capaz de ejecutar código en el espacio de la memoria del sistema objetivo, lo que permite a los atacantes realizar una variedad de actividades de espionaje sin necesidad de instalar archivos persistentes.

Captura y Manipulación de Datos

Una de las características más preocupantes de RemotePE es su capacidad para capturar y manipular datos en tiempo real. Esto incluye la intercepción de credenciales de usuario, interceptación de tráfico de red, monitoreo de actividades del sistema y captura de información sensible. La herramienta también puede ser utilizada para realizar cambios en el sistema sin que el usuario se dé cuenta, lo que permite a los atacantes operar con mayor libertad.

Objetivo de la Infiltración

Según informes recientes, los ataques con RemotePE han estado dirigidos principalmente a empresas financieras y empresas de criptomonedas. Estas industrias son particularmente sensibles a los ataques de cibercrimen debido a su exposición a grandes cantidades de dinero y a la naturaleza en línea de sus operaciones. La infiltración de sistemas de estas empresas puede resultar en el robo de fondos, la exposición de información confidencial y daños significativos a la reputación.

Medidas de Seguridad

Para protegerse contra ataques como el lanzado por Lazarus, las organizaciones deben implementar una serie de medidas de seguridad. Estas incluyen la actualización constante de los sistemas y software, la implementación de soluciones de seguridad de red robustas, el monitoreo de actividades de red y la capacitación regular de los empleados en prácticas de seguridad. Además, es crucial tener en cuenta que la detección de este tipo de amenazas puede ser compleja, lo que hace necesaria la implementación de sistemas de detección de intrusos avanzados (SIEM).

Conclusiones

La utilización de RemotePE como herramienta de ataque por parte de Lazarus representa un avance significativo en la evolución de los ciberataques. Su capacidad para operar en la memoria del sistema sin dejar rastros lo convierte en una amenaza crítica para las organizaciones financieras y de criptomonedas. Es importante que las empresas adopten estrategias de seguridad proactivas y mantengan a su personal actualizado sobre las últimas amenazas y prácticas de seguridad. La vigilancia constante y la adopción de medidas de prevención son fundamentales para mantener la protección de sistemas y datos sensibles.

Fuente: El Hacker News