Firma de seguridad detecta campaña vinculada a Corea del Norte contra plataformas cripto e infraestructura en la nube
CtrlAltIntel reportó el 9 de marzo que un grupo de hackers presuntamente vinculado a Corea del Norte atacó plataformas de staking, proveedores de software para exchanges y exchanges de criptomonedas explotando la vulnerabilidad React2Shell (CVE202555182) y credenciales comprometidas de AWS. Los atacantes accedieron a entornos en la nube, enumeraron recursos incluyendo S3, EC2, RDS, EKS y ECR, y extrajeron claves y credenciales desde AWS Secrets Manager, archivos Terraform, configuraciones Kubernetes y contenedores Docker, según la firma. Los investigadores dijeron que el grupo descargó cinco imágenes Docker y extrajo código fuente, incluyendo componentes de software vinculados a clientes de ChainUp, usando infraestructura que dependía del servidor coreano 64.176.226[.]36 y el dominio itemnania[.]com. CtrlAltIntel señaló que las tácticas e infraestructura coinciden con actividad previamente asociada a operaciones norcoreanas, pero enfatizó que la confianza en la atribución es moderada y la fuente de las credenciales AWS permanece desconocida.
