DHS Cybersecurity
và Cơ quan An ninh Cơ sở hạ tầng (CISA) và Cục Liên bang
Cuộc điều tra đã công bố một báo cáo về sáu biến thể phần mềm độc hại mới hoặc được nâng cấp
đang được Triều Tiên sử dụng.

Phần mềm độc hại
các loại bao gồm Bistromath, Slickshoes, Crowdedflounder, Hotcroissant,
Artfulpie, Buffetline và Hoplight. Hoplight là một phần mềm độc hại đã được ghi lại trước đây
được cho là được sử dụng bởi nhóm gián điệp mạng của Triều Tiên Rắn hổ mang ẩn. Tất cả mới
Theo CISA, các loại phần mềm độc hại cũng được Hidden Cobra sử dụng.

sinh học,
cũng được sử dụng bởi Hidden Cobra, về cơ bản là một bộ thực thi cấy ghép RAT đầy đủ tính năng
và nhiều phiên bản của trình tạo / điều khiển cấy ghép GUI CAgent11. Nó
thực hiện mã hóa mạng XOR đơn giản và có thể tiến hành khảo sát hệ thống, tập tin
tải lên / tải xuống, xử lý và thực thi lệnh, có thể nghe micrô âm thanh,
xem khay nhớ tạm và màn hình. Bộ điều khiển GUI cho phép tương tác với
bộ cấy ghép cũng như tùy chọn để tự động chế tạo bộ cấy ghép mới với
các tùy chọn tùy chỉnh.

Slickshoes là
một ống nhỏ giọt đóng gói Themida để giải mã và thả một tệp
“C: WindowsWebtaskenc.exe” là một báo hiệu đóng gói Themida
cấy ghép. Báo hiệu này không thực thi tệp bị bỏ cũng như không lên lịch cho bất kỳ
các nhiệm vụ để chạy phần mềm độc hại, thay vào đó nó sử dụng mã hóa mạng bản địa
thuật toán thực hiện khảo sát hệ thống, tải lên / tải xuống tệp, xử lý và
thực hiện lệnh và chụp màn hình.

cá bơn đông
là một bản thực thi Windows 32 bit được đóng gói Themida có thể giải nén và thực thi một RAT
nhị phân trong bộ nhớ. Các tính năng khác bao gồm khả năng lắng nghe như một proxy cho
kết nối đến có chứa lệnh hoặc có thể kết nối với máy chủ từ xa để
nhận lệnh.

bánh sừng bò nóng
là một mô cấy báo hiệu đầy đủ tính năng khác thực hiện mạng XOR tùy chỉnh
mã hóa và có thể tiến hành khảo sát hệ thống, tải lên và tải xuống tệp, xử lý và
thực hiện lệnh và thực hiện chụp màn hình.

Artfulpie là
một thiết bị cấy ghép tải xuống dữ liệu và xử lý tải trong bộ nhớ và thực hiện
DLL từ một URL được mã hóa cứng.

Buffetline là
bộ cấy ghép đầy đủ tính năng thứ ba được liệt kê. Nó sử dụng PolarSSL cho phiên
xác thực, nhưng chuyển sang lược đồ FakeTLS để mã hóa mạng bằng cách sử dụng
thuật toán RC4 sửa đổi. Phần mềm độc hại có khả năng tải xuống, tải lên,
xóa và thực thi các tệp; cho phép truy cập Windows CLI; tạo và kết thúc
các quy trình; và thực hiện liệt kê hệ thống đích.