Higaisa APT

El Higaisa APT (Amenaça persistent avançada) és un grup de pirates informàtics, que probablement prové de la península coreana. El grup de pirateria informàtica Higaisa es va estudiar àmpliament per primera vegada l'any 2019. No obstant això, els analistes de programari maliciós creuen que l'APT Higaisa va començar a funcionar el 2016, però ha aconseguit evitar atreure l'atenció d'experts en l'àmbit de la ciberseguretat fins al 2019. Sembla que l'APT Higaisa utilitza tots dos eines de pirateria personalitzades, així com amenaces populars disponibles públicament com el PlugX RAT (troià d'accés remot) i el Gh0st RAT .

El grup de pirates informàtics Higaisa acostuma a basar-se principalment en campanyes de correu electrònic de pesca llança per distribuir programari maliciós. Segons els investigadors de seguretat, en una de les últimes operacions de l'APT Higaisa, el vector d'infecció utilitzat era fitxers .LNK maliciosos. Els fitxers .LNK de la seva darrera campanya es van emmascarar com a fitxers inofensius, com ara resultats d'exàmens, currículums, ofertes de feina, etc. A principis d'aquest any, el grup de pirateria de Higaisa va utilitzar correus electrònics amb temes de COVID-19 per propagar fitxers .LNK corruptes als seus objectius.

Si l'usuari és enganyat per l'Higasa APT i obre el fitxer danyat, és possible que no noti res estrany. Això es deu al fet que aquest grup de pirateria utilitza fitxers d'engany que mantindran l'atenció de l'usuari i evitaran que s'adonin que el seu sistema s'ha trencat. El fitxer .LNK maliciós té una llista d'ordres, que s'executarà en silenci en segon pla. La llista d'ordres permetrà que l'amenaça:

• Planteu els seus fitxers al directori %APPDATA% de l'amfitrió compromès.
• Desxifrar i descomprimir les dades del fitxer LNK.
• Planteu un fitxer JavaScript a la carpeta "Descàrregues" del sistema infectat i, a continuació, executeu-lo.

A continuació, el fitxer JavaScript s'assegurarà que executa un conjunt d'ordres, que permetrien als atacants obtenir dades sobre l'amfitrió infectat i la seva configuració de xarxa. A continuació, s'executarà un dels fitxers que es van descomprimir del fitxer .LNK maliciós. El fitxer JavaScript en qüestió també s'asseguraria que l'amenaça guanyi persistència a l'amfitrió de manera que s'executi en el reinici.

Per protegir el vostre sistema dels atacs cibernètics, és recomanable invertir en una aplicació antivirus moderna i de bona reputació.