Redazione RHC : 4 agosto 2025 20:09
Especialistas del Centro de Seguridad de Genians han descubierto una versión mejorada del malware RoKRAT, asociado con el grupo norcoreano APT37. La nueva versión se distingue por una forma inusual de ocultar el código malicioso: dentro del cuerpo de imágenes JPEG comunes. Este enfoque le permite evadir los sistemas antivirus tradicionales, ya que la funcionalidad maliciosa no se escribe directamente en el disco, sino que se extrae a la RAM.
La infección inicial comienza con la ejecución de un enlace .LNK malicioso contenido en un archivo ZIP. Un ejemplo es un archivo llamado «National Intelligence and Counterintelligence Manuscript.zip». Su estructura incluye un archivo .LNK de gran tamaño (más de 50 MB) que contiene documentos señuelo y componentes cifrados: shellcode (ttf01.dat), scripts de PowerShell (ttf02.dat) y archivos por lotes (ttf03.bat).
Al ejecutar el archivo, se activa PowerShell mediante una operación XOR de un solo byte con la clave 0x33, descifrando el shellcode de 32 bits. El siguiente paso consiste en inyectar una segunda capa de código cifrado, que se descifra en el desplazamiento 0x590 con la clave 0xAE. Esto crea un archivo ejecutable que contiene referencias a información de depuración, como la ruta «D:WorkUtilInjectShellcodeReleaseInjectShellcode.pdb».
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] 
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
El fragmento descifrado se inyecta en procesos legítimos de Windows como «mspaint.exe» o «notepad.exe», ubicados en el directorio SysWOW64. Este procedimiento crea memoria virtual en la que se escriben bloques de datos de aproximadamente 892 928 bytes. Estos se descifran de nuevo mediante XOR, esta vez con la clave 0xD6. En este punto, se activa la parte principal de RoKRAT.
El archivo no se guarda en el disco, lo que dificulta considerablemente el análisis posterior a la infección. Los indicios de afiliación a APT37 incluyen marcas de tiempo del archivo, como el 21 de abril de 2025 a las 00:39:59 UTC, y construcciones únicas como «-wwjaughalvncjwiajs-«.
La innovación más importante es el uso de la esteganografía. El cargador malicioso RoKRAT está incrustado en una imagen JPEG, como «Father.jpg», alojada en Dropbox. Este archivo conserva un encabezado Exif válido, pero a partir del desplazamiento 0x4201 contiene un shellcode codificado. Para extraerlo, se utiliza una doble transformación XOR: primero con la clave 0xAA y luego con la clave 0x29. RoKRAT se carga directamente en memoria y se ejecuta sin dejar rastro en el sistema de archivos.
Para ejecutar el archivo DLL malicioso, se utilizan técnicas de instalación lateral mediante utilidades legítimas, como ShellRunas.exe o AccessEnum.exe, incrustado en documentos HWP. Las descargas se realizan desde plataformas en la nube, como Dropbox, pCloud y Yandex.Disk, utilizando API y tokens de acceso caducados, como: «hFkFeKn8jJIAAAAAAAAAAZr14zutJmQzoOx-g5k9SV9vy7phb9QiNCIEO7SAp1Ch».
Además de recopilar información y documentos del sistema, RoKRAT toma capturas de pantalla y las envía a servidores externos. Las muestras más recientes, con fecha de julio de 2025, se distribuyen mediante accesos directos como «Operación de la Academia para el Reasentamiento Exitoso de los Desertores Norcoreanos en Corea del Sur.lnk». Estas versiones ya utilizan «notepad.exe» como proceso objetivo para la inyección, y se especifican nuevas rutas como «D:WorkWeapon» dentro del código, lo que indica que el kit de herramientas está en constante perfeccionamiento.
Los sistemas de detección y respuesta de endpoints (EDR) desempeñan un papel importante en la protección contra este tipo de ataques. Estas soluciones monitorean la actividad inusual, incluyendo inyecciones de código y conexiones de red a API en la nube. La visualización mediante EDR permite reconstruir toda la cadena de ataque, desde el inicio de LNK hasta la transmisión de datos al servidor de comando, así como aislar rápidamente la amenaza mediante la metodología MITRE ATT&CK. Con los métodos cada vez más sofisticados de los grupos APT, basados en la denegación de archivos y la transferencia encubierta de datos, es evidente que las defensas tradicionales basadas en firmas ya no son suficientes, especialmente cuando se dirigen a sistemas Windows en Corea del Sur y otros países de la región.
RedazioneEn un drástico cambio de rumbo, Nepal ha levantado el bloqueo nacional de las redes sociales impuesto la semana pasada después de que provocara protestas masivas de jóvenes y causara al menos 19 mu...
La Dark Web es una parte de internet a la que no se puede acceder con navegadores estándar (Chrome, Firefox, Edge). Para acceder a ella, se necesitan herramientas específicas como el navegador Tor, ...
El equipo de Darklab, la comunidad de expertos en inteligencia de amenazas de Red Hot Cyber, ha identificado un anuncio en el mercado de la dark web «Tor Amazon», la contraparte criminal del popular...
La Conferencia Red Hot Cyber se ha convertido en un evento habitual para la comunidad Red Hot Cyber y para cualquier persona que trabaje o esté interesada en el mundo de las tecnologías digitales y ...
El lanzamiento de Hexstrike-AI marca un punto de inflexión en el panorama de la ciberseguridad. El framework, considerado una herramienta de última generación para equipos rojos e investigadores, e...
