Void Dokkaebi / InvisibleFerret Cython-Obfuscated Malware Campaign (North Korean APT)

De CiberWiki

Void Dokkaebi InvisibleFerret Cython Campaign es una operación de ciberespionaje y ciberdelincuencia vinculada a Corea del Norte, llevada a cabo por el grupo de intrusiones conocido como Void Dokkaebi (también conocido como Famous Chollima), que ha actualizado su malware de robo de información InvisibleFerret para evadir las detecciones basadas en scripts mediante la migración de scripts de Python legibles a binarios compilados con Cython. Cython es una herramienta que traduce código Python a código fuente C/C++ y luego lo compila en binarios nativos, lo que mejora la velocidad de ejecución y proporciona una capa adicional de ofuscación. Como resultado, InvisibleFerret ahora se distribuye como archivos .pyd (módulos de extensión de Python en formato DLL) en Windows y archivos .so (bibliotecas compartidas) en macOS, en lugar de scripts de Python simples. Dado que estos binarios no son ejecutables independientes, requieren un intérprete de Python para cargarlos; la cadena de infección genera un script de ejecución de Python (.mod) que los carga y ejecuta. El grupo se dirige sistemáticamente a desarrolladores de software que poseen credenciales de monederos de criptomonedas, claves de firma, acceso a pipelines de CI/CD e infraestructura de producción. El vector de ataque inicial consiste en que los atacantes se hacen pasar por reclutadores de empresas de criptomonedas e inteligencia artificial, engañando a los desarrolladores para que clonen y ejecuten repositorios de código como parte de supuestas entrevistas de trabajo. Una vez ejecutado, el código malicioso inicia una cadena de infección multi-etapa que involucra BeaverTail (un descargador y ladrón de información) e InvisibleFerret (un malware modular con capacidades de puerta trasera, robo de credenciales de navegador, monitorización del portapapeles, keylogging y ataque a monederos de criptomonedas). La campaña es especialmente relevante para desarrolladores, usuarios de criptomonedas y organizaciones cuyos desarrolladores tienen acceso a activos sensibles. Trend Micro (TrendAI™ Research) ha documentado esta evolución y proporciona reglas de caza, consultas XDR e indicadores de compromiso (IOCs) para ayudar a identificar y mitigar estas amenazas.

Nombres Alternativos / Aliases

  • Void Dokkaebi Campaign (Por el nombre del grupo)
  • Famous Chollima APT (Por el alias del grupo)
  • InvisibleFerret Cython Variant (Por el malware ofuscado)
  • North Korean Developer-Targeted Malware (Por el perfil de víctima)
  • BeaverTail + InvisibleFerret Operation (Por los componentes de malware)

Fecha de Detección / Actividad

  • Primera Actividad de Void Dokkaebi: Anterior a octubre de 2025 (campo de juego documentado)
  • Variantes de BeaverTail con Nuevas Capacidades: Finales de octubre de 2025
  • Adopción de Ofuscación Cython: Detectada en mayo de 2026 (análisis publicado el 22 de mayo de 2026)
  • Estado: Activo. El grupo continúa refinando tanto BeaverTail como InvisibleFerret, y la migración a Cython está en curso (no completamente funcional en todos los módulos).

Actor de Amenaza (Atribución)

  • Nombre del Actor: Void Dokkaebi (también conocido como Famous Chollima)
  • Vínculo Geográfico: Corea del Norte (atribuido con alta confianza por TrendAI™ Research basado en artefactos técnicos, TTPs, y superposiciones de código e infraestructura con BeaverTail e InvisibleFerret).
  • Tipo de Actor: Grupo de intrusiones patrocinado por el estado, centrado en ciberespionaje y robo de criptomonedas. Se dirige específicamente a desarrolladores de software.
  • Sofisticación: Alta. El grupo demuestra capacidades avanzadas: (a) ingeniería social dirigida a desarrolladores mediante falsas entrevistas de trabajo, (b) desarrollo de malware multi-etapa en múltiples lenguajes (JavaScript, Python, Cython), (c) ofuscación compleja con array shuffling, Base64 stripping, XOR encryption, split-and-swap IP encoding, (d) migración de Python scripts a binarios compilados con Cython (.pyd, .so) para evadir detección, (e) desarrollo de múltiples variantes de BeaverTail (gjs, njs, zjs, cjs) con funcionalidades superpuestas, (f) ataque a monederos de criptomonedas (MetaMask, Coinbase Wallet, Phantom), (g) downgrade de Chrome en macOS para eludir Manifest V3, (h) persistencia, keylogging, monitorización de portapapeles, y (i) uso de geolocalización externa (ip-api[.]com).

Resumen Ejecutivo

Void Dokkaebi InvisibleFerret Cython Campaign representa una evolución significativa en las capacidades de un grupo de intrusiones vinculado a Corea del Norte, que ha migrado su malware InvisibleFerret de scripts de Python legibles a binarios compilados con Cython para evadir las detecciones basadas en scripts. El grupo, también conocido como Famous Chollima, se dirige sistemáticamente a desarrolladores de software que poseen credenciales de monederos de criptomonedas, claves de firma, acceso a pipelines de CI/CD (integración continua/entrega continua) e infraestructura de producción. La campaña comienza con ingeniería social: los atacantes se hacen pasar por reclutadores de empresas de criptomonedas e inteligencia artificial, engañando a los desarrolladores para que clonen y ejecuten repositorios de código malicioso como parte de supuestas entrevistas de trabajo falsas. Una vez ejecutado, el código malicioso (BeaverTail) inicia una cadena de infección multi-etapa. La actualización principal es el uso de Cython para ofuscar InvisibleFerret. Cython traduce código Python a C/C++ y lo compila en binarios nativos, lo que significa que el malware ya no es un script legible, sino un archivo .pyd (módulo de extensión de Python en formato DLL) en Windows o un archivo .so (biblioteca compartida) en macOS. Sin embargo, estos binarios no son ejecutables independientes; requieren un intérprete de Python para cargarlos. Por lo tanto, la cadena de infección genera un script de ejecución de Python (.mod) que importa y ejecuta el binario Cython, pasando argumentos de línea de comandos que incluyen sType (un identificador utilizado por el atacante), direcciones IP codificadas y números de puerto. Esto significa que las reglas de detección existentes que se basan en el análisis de scripts de Python podrían no identificar el malware; el destino real de comando y control (C&C) puede no ser extraíble solo del binario sin el script de ejecución acompañante. El análisis de Trend Micro reveló que la ofuscación subyacente dentro de los binarios Cython (incluyendo la descompresión Zlib de constantes de cadena y la decodificación XOR de direcciones IP) permanece sin cambios con respecto a versiones anteriores de InvisibleFerret, lo que permite que los analistas familiarizados con técnicas anteriores apliquen los mismos métodos de desofuscación. El malware consta de cuatro módulos principales: (1) mod.pyd/mod.so (principal): descarga módulos adicionales (pad, brw) y es consistente con la funcionalidad principal de InvisibleFerret; (2) pad.pyd/pad.so: posee capacidades de puerta trasera (funciones que comienzan con ssh_), recopila información del sistema y de red, accede a ip-api[.]com/json para geolocalización, roba monederos de criptomonedas, claves de servicio y contraseñas, monitorea el portapapeles y realiza keylogging (solo Windows); (3) brw.pyd/brw.so: roba información de autenticación y detalles de tarjetas de crédito de navegadores; (4) mc.so (solo macOS): descarga e instala extensiones de navegador troyanizadas en Chrome y Brave, incluyendo extensiones de monederos como MetaMask, Coinbase Wallet y Phantom, y tiene la capacidad de degradar la versión de Chrome en macOS para eludir la transición obligatoria de Google a Manifest V3 (las nuevas extensiones de Chrome no proporcionan la funcionalidad necesaria para manipular monederos de criptomonedas; al degradar Chrome a una versión que aún soporta Manifest V2, los atacantes mantienen su capacidad de troyanización). Brave también es objetivo ya que aún ofrece soporte limitado para Manifest V2. BeaverTail también ha evolucionado significativamente. Originalmente un descargador y ladrón de información, ahora funciona como un componente multi-etapa con capacidades similares a InvisibleFerret. Sus técnicas de ofuscación se han vuelto más complejas, incluyendo: (a) array shuffling de aproximadamente 300 fragmentos Base64 usando una IIFE (Immediately Invoked Function Expression), (b) eliminación del primer carácter de cada cadena codificada (carácter basura) para evadir detección simple de Base64, (c) cifrado XOR con clave de 4 bytes para cadenas sensibles (rutas de archivo, comandos de ejecución), y (d) codificación de IP split-and-swap (las direcciones IP se dividen en dos mitades, se intercambian, y luego se codifican en Base64). Existen cuatro variantes de BeaverTail: (1) gjs (robo de información y descarga de InvisibleFerret), (2) njs (puerta trasera con funciones ssh_ y descarga de variantes adicionales), (3) zjs (robo de monederos de criptomonedas, frases semilla, claves privadas y configuraciones de desarrollador), y (4) cjs (descarga e instalación de extensiones troyanizadas en Chrome y Brave). La migración a Cython no está completa; algunos módulos (como any.py) todavía contienen código heredado y no son completamente funcionales, lo que indica desarrollo activo continuo. Trend Micro atribuye esta campaña a Void Dokkaebi con alta confianza basada en artefactos técnicos, TTPs y superposiciones de código e infraestructura con BeaverTail e InvisibleFerret.

Vectores de Ataque / Métodos de Distribución

  1. Ingeniería Social mediante Falsas Entrevistas de Trabajo: El grupo se hace pasar por reclutadores de empresas de criptomonedas e inteligencia artificial, contactando a desarrolladores objetivo y ofreciéndoles entrevistas de trabajo falsas.
  2. Repositorios de Código Malicioso: Los desarrolladores son engañados para que clonen y ejecuten repositorios de código (presumiblemente de GitHub u otras plataformas) que contienen el malware BeaverTail.
  3. Cadena de Infección Multi-Etapa: La ejecución inicial (BeaverTail) descarga y ejecuta componentes adicionales (InvisibleFerret), incluyendo binarios Cython (.pyd/.so) y scripts de ejecución (.mod).
  4. Ofuscación Cython: El malware se distribuye como binarios compilados (.pyd en Windows, .so en macOS) en lugar de scripts de Python legibles, evadiendo detecciones basadas en scripts.
  5. Scripts de Ejecución Python (.mod): Dado que los binarios Cython requieren un intérprete Python, la cadena de infección genera scripts .mod que los importan y ejecutan, pasando argumentos C&C (direcciones IP, puertos, sType).
  6. Ejecución Fileless (Parcial): Algunos módulos eliminan el script de ejecución Python después de su uso para ocultar los destinos C&C.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK) Técnica / Subtécnica Descripción / Implementación
Initial Access (TA0001) Phishing (T1566) - Spearphishing Link (T1566.002) Ingeniería social mediante falsas entrevistas de trabajo; el desarrollador clona y ejecuta repositorios maliciosos.
Execution (TA0002) Command and Scripting Interpreter: Python (T1059.006) Ejecución de BeaverTail (JavaScript) e InvisibleFerret (Python/Cython).
Execution (TA0002) User Execution: Malicious File (T1204.002) El desarrollador ejecuta el código malicioso creyendo que es parte de una entrevista de trabajo.
Persistence (TA0003) Boot or Logon Autostart Execution: Registry Run Key (T1547.001) InvisibleFerret puede establecer persistencia (no especificado explícitamente pero común).
Defense Evasion (TA0005) Obfuscated Files or Information (T1027) Cython compilation, array shuffling, Base64 stripping, XOR encryption, split-and-swap IP encoding.
Defense Evasion (TA0005) Indicator Removal: File Deletion (T1070.004) Algunos módulos (ej., mc.so) eliminan el script de ejecución Python después de su uso.
Defense Evasion (TA0005) Impair Defenses: Disable or Modify Tools (T1562.001) Downgrade de Chrome en macOS para eludir Manifest V3 (deshabilitando efectivamente las protecciones de extensiones más recientes).
Credential Access (TA0006) Credentials from Password Stores: Browser (T1555.003) Robo de credenciales de navegadores, cookies, tokens de sesión.
Credential Access (TA0006) Input Capture: Keylogging (T1056.001) Registro de pulsaciones de teclas (módulo pad en Windows).
Credential Access (TA0006) Clipboard Data (T1115) Monitorización del portapapeles para robar direcciones de monederos de criptomonedas y claves privadas.
Discovery (TA0007) System Information Discovery (T1082) Recopilación de información del sistema y de red.
Discovery (TA0007) File and Directory Discovery (T1083) Enumeración de archivos y directorios para encontrar datos de monederos.
Discovery (TA0007) Software Discovery (T1518) Detección de navegadores y extensiones instaladas.
Collection (TA0009) Data from Local System (T1005) Recopilación de credenciales, archivos de monederos, configuraciones de desarrollador.
Command and Control (TA0011) Application Layer Protocol: Web Protocols (T1071.001) Comunicación C&C sobre HTTP/HTTPS.
Command and Control (TA0011) Web Service: Dead Drop Resolver (T1102.001) Uso de ip-api[.]com/json para geolocalización (no es C2 principal pero es un servicio web externo).
Command and Control (TA0011) Non-Standard Port (T1571) Posible uso de puertos no estándar (no especificado explícitamente).
Exfiltration (TA0010) Exfiltration Over C2 Channel (T1041) Exfiltración de datos robados a través del canal C&C.
Impact (TA0040) Financial Theft (sin código ATT&CK específico) Robo de monederos de criptomonedas (MetaMask, Coinbase, Phantom).

Flujo de Ataque (Cyber Kill Chain - Void Dokkaebi)

  1. Reconocimiento: Void Dokkaebi identifica desarrolladores de software que trabajan con criptomonedas, IA o que tienen acceso a sistemas sensibles (CI/CD, producción). Se enfoca en aquellos que publican sus perfiles en plataformas como LinkedIn o GitHub.
  2. Armamento: El grupo desarrolla (a) repositorios de código malicioso que contienen BeaverTail (JavaScript), (b) múltiples variantes de BeaverTail (gjs, njs, zjs, cjs) con ofuscación avanzada, (c) InvisibleFerret compilado con Cython (.pyd, .so) con módulos mod, pad, brw, mc, y (d) scripts de ejecución .mod para cargar los binarios Cython.
  3. Entrega: Los atacantes se hacen pasar por reclutadores de empresas de criptomonedas/IA y engañan a los desarrolladores para que clonen y ejecuten repositorios maliciosos (presumiblemente a través de GitHub u otras plataformas).
  4. Explotación: El desarrollador ejecuta el código malicioso (BeaverTail), creyendo que es parte de una entrevista de trabajo legítima (prueba de codificación). BeaverTail se ejecuta en el contexto del usuario.
  5. Instalación:
    • BeaverTail descarga y ejecuta InvisibleFerret (binarios Cython) desde el servidor C&C (rutas /clw/{sType} para Windows, /clw1/{sType} para macOS).
    • BeaverTail crea un script .mod que importa el binario Cython y lo ejecuta con argumentos (sType, IPs codificadas, puerto).
    • InvisibleFerret (mod) descarga módulos adicionales (pad, brw, mc según la plataforma).
    • En macOS, mc.so puede degradar Chrome e instalar extensiones troyanizadas.
    • Se establece persistencia (Run keys, tareas programadas).
  6. Comando y Control (C2): InvisibleFerret se comunica con los servidores C&C utilizando las IPs y puertos extraídos del binario o pasados como argumentos. BeaverTail (njs) también puede comunicarse con C2.
  7. Acción sobre Objetivos:
    • Robo de Credenciales: BeaverTail (zjs) e InvisibleFerret (brw) roban credenciales de navegadores, cookies, tarjetas de crédito.
    • Robo de Monederos de Criptomonedas: BeaverTail (zjs) e InvisibleFerret (pad, mc) roban frases semilla, claves privadas, y troyanizan extensiones de monederos (MetaMask, Coinbase Wallet, Phantom).
    • Keylogging y Monitorización de Portapapeles: InvisibleFerret (pad) captura pulsaciones de teclas (Windows) y contenido del portapapeles.
    • Puerta Trasera: InvisibleFerret (pad) y BeaverTail (njs) proporcionan acceso remoto con funciones ssh_.
    • Reconocimiento: Recopilación de información del sistema, de red y geolocalización (a través de ip-api[.]com).

Infraestructura Utilizada

Tipo Indicador / Característica Propósito
Servidor C&C IP 45[.]59[.]160[.]199 (extraída de binario Cython) Comando y control, descarga de payloads.
Patrón de URL (Windows) /clw/{sType} Descarga de InvisibleFerret compilado con Cython para Windows.
Patrón de URL (macOS) /clw1/{sType} Descarga de InvisibleFerret compilado con Cython para macOS.
Servicio de Geolocalización hxxp://ip-api[.]com/json BeaverTail (njs) y pad obtienen geolocalización basada en IP.
Repositorios de Código GitHub (presumiblemente, no confirmado) Distribución de BeaverTail a través de falsas entrevistas de trabajo.
Binarios Cython (Windows) mod.pyd, pad.pyd, brw.pyd Módulos principales de InvisibleFerret.
Binarios Cython (macOS) mod.so, pad.so, brw.so, mc.so Módulos principales de InvisibleFerret; mc.so es específico de macOS.
Scripts de Ejecución .mod, pad0, brw0, mc0 Carga y ejecuta los binarios Cython con argumentos.
Rutas de Caída .vscode\mod.pyd (Windows), .vscode/mod.so (macOS) Ubicaciones comunes donde se instalan los módulos.
Entorno de Compilación (macOS) /Usuarios/administrador/Imágenes/Trabajo/py_module_work/ Ruta incrustada en binarios .so, revela entorno del atacante.

Objetivos y Sectores Afectados

  • Objetivo Principal: Desarrolladores de software (especialmente aquellos que trabajan con criptomonedas, IA, o tienen acceso a sistemas de producción y CI/CD).
  • Sector Prioritario: Criptomonedas / Blockchain, Inteligencia Artificial, Desarrollo de Software, Tecnología.
  • Monederos de Criptomonedas Objetivo: MetaMask, Coinbase Wallet, Phantom (probablemente más en el futuro).
  • Plataformas Afectadas: Windows (archivos .pyd), macOS (archivos .so). También se apunta a navegadores Chrome y Brave.
  • Datos Robados: Credenciales de navegadores (contraseñas, cookies, tarjetas de crédito), frases semilla y claves privadas de monederos de criptomonedas, configuraciones de desarrollador, información del sistema y de red.
  • Distribución Geográfica: Global (el grupo es norcoreano, pero los objetivos son desarrolladores en todo el mundo).

Impacto y Riesgo

  • Nivel de Riesgo: Crítico para desarrolladores de software y organizaciones de criptomonedas/IA. El compromiso de un desarrollador puede llevar al robo de claves de firma, acceso a pipelines de CI/CD, sistemas de producción, y monederos de criptomonedas.
  • Impacto Potencial (Desarrolladores/Organizaciones):
    • Robo de Criptomonedas: Pérdida de fondos de monederos personales y posiblemente corporativos.
    • Compromiso de Cadena de Suministro: Un desarrollador comprometido podría introducir malware en código base, afectando a todos los clientes/usuarios finales.
    • Acceso a Infraestructura Crítica: Las claves de firma y credenciales de CI/CD robadas permiten a los atacantes acceder a sistemas de producción y pipelines de despliegue.
    • Robo de Propiedad Intelectual: Código fuente, algoritmos de IA, secretos comerciales.
    • Pivote a Redes Corporativas: El equipo del desarrollador puede ser utilizado como punto de entrada a la red corporativa más amplia.
  • Evasión de Detección: La migración a binarios Cython significa que las reglas de detección existentes basadas en scripts de Python podrían fallar. Los defensores necesitan actualizar sus estrategias para incluir análisis binario y búsqueda de artefactos como .pyd, .so, y scripts de ejecución en rutas .vscode.
  • Estado de Desarrollo (Migración Incompleta): La migración a Cython no está completa; algunos componentes (any.py) todavía contienen código heredado no funcional. Esto indica que el grupo está en medio de la transición, y las futuras versiones serán más robustas y difíciles de detectar.

Recomendaciones de Mitigación

  1. Detección de Binarios Cython y Scripts de Ejecución (M1040, M1049):
    • Monitorear la creación de archivos .pyd, .so, y scripts .mod, pad0, brw0, mc0 en rutas de directorio como .vscode\ (Windows) o .vscode/ (macOS/Linux).
    • Buscar procesos de Python (python.exe, python3) cargando módulos de extensión desde rutas no estándar (ej., .vscode\mod.pyd).
    • Alertar sobre la ejecución de Python que toma como argumento scripts con nombres como .mod o pad0.
  2. Protección contra Ingeniería Social y Falsas Entrevistas (M1017):
    • Educar a los desarrolladores sobre los riesgos de clonar y ejecutar código de fuentes no verificadas, incluso si provienen de reclutadores.
    • Implementar políticas de seguridad que requieran que todo el código descargado para pruebas técnicas sea revisado por personal de seguridad o ejecutado en entornos aislados (sandboxes).
  3. Monitoreo de Comportamiento y Anomalías (M1040):
    • Monitorear el downgrade de la versión de Chrome en macOS (una técnica utilizada por mc.so para eludir Manifest V3). Alertar sobre cambios no autorizados en la versión de Chrome.
    • Monitorear la instalación de extensiones de navegador troyanizadas, especialmente extensiones de monederos (MetaMask, Coinbase Wallet, Phantom).
    • Detectar keylogging y monitorización de portapapeles mediante soluciones EDR.
    • Detectar accesos a ip-api[.]com/json desde procesos no autorizados (BeaverTail njs y pad la utilizan para geolocalización).
  4. Rotación de Credenciales y Principio de Mínimo Privilegio (M1026, M1027):
    • Rotar regularmente las claves de firma, tokens de acceso, y credenciales de CI/CD.
    • Aplicar el principio de mínimo privilegio para cuentas de desarrollador y acceso a sistemas de producción.
    • Implementar autenticación multifactor (MFA) resistente al phishing (FIDO2/WebAuthn) para cuentas privilegiadas.
  5. Control de Aplicaciones y Listas de Permitidos (M1038, M1033):
    • Restringir la ejecución de Python y la carga de módulos de extensión utilizando AppLocker o Microsoft Defender Application Control (WDAC).
    • Bloquear la ejecución de scripts de Python desde directorios de perfil de usuario (ej., %USERPROFILE%\.vscode\, ~/.vscode/).

Herramientas de Detección

  • EDR / XDR: Soluciones como Trend Micro Vision One, CrowdStrike, SentinelOne pueden detectar:
    • Creación de archivos .pyd, .so, .mod en rutas .vscode.
    • Procesos de Python cargando módulos de extensión desde ubicaciones no estándar.
    • Keylogging y monitorización de portapapeles.
    • Downgrade de Chrome en macOS.

SIEM: Correlacionar eventos de creación de archivos, ejecución de procesos, y conexiones de red (a ip-api[.]com, a la IP C&C 45[.]59[.]160[.]199).

  • Análisis Binario: Herramientas como strings, objdump, o IDA Pro para extraer cadenas, rutas de compilación, y constantes de los binarios Cython (.pyd, .so).
  • Trend Micro Vision One XDR Data Explorer: Consultas de caza para detectar los IOC (ver sección de indicadores).

Referencias y Fuentes

  • Fujisawa, K. (2026, 22 de mayo). Análisis del malware InvisibleFerret compilado con Cython de Void Dokkaebi. Trend Micro. (Artículo proporcionado por el usuario).
  • Dutta, T. S. (2026, 25 de mayo). El malware InvisibleFerret ahora se distribuye como archivos .pyd y .so para evadir la detección de scripts. Cyber Security News. (Artículo proporcionado por el usuario).
  • TrendAI™ Research. (2026). Void Dokkaebi Adopts Cython-Compiled InvisibleFerret. (Análisis técnico).
  • MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha Versión Autor Cambios Realizados
2026-05-26 1.0 Fernando vargas Hincapié Creación inicial de la entrada basada en los análisis de Trend Micro y Cyber Security News sobre Void Dokkaebi.

Indicadores de Compromiso (IOCs)

Tipo Valor
Nombre del Grupo Void Dokkaebi (Famous Chollima), vinculado a Corea del Norte
Malware Principal InvisibleFerret (ofuscado con Cython)
Malware Secundario BeaverTail (JavaScript, múltiples variantes: gjs, njs, zjs, cjs)
Archivos Maliciosos (Windows) mod.pyd, pad.pyd, brw.pyd
Archivos Maliciosos (macOS) mod.so, pad.so, brw.so, mc.so
Scripts de Ejecución .mod, pad0, brw0, mc0
Rutas de Caída .vscode\mod.pyd (Windows), .vscode/mod.so (macOS), .vscode\pad.pyd, .vscode\pad.so, .vscode\brw.pyd, .vscode\brw.so, .vscode/mc.so
IP C&C (extraída) 45[.]59[.]160[.]199 (se requiere decodificación XOR)
Patrón de URL C&C (Windows) /clw/{sType}
Patrón de URL C&C (macOS) /clw1/{sType}
Servicio de Geolocalización hxxp://ip-api[.]com/json (abusado por BeaverTail njs y pad)
Ruta de Compilación (macOS) /Usuarios/administrador/Imágenes/Trabajo/py_module_work/ (incrustada en binarios .so)
Extensiones de Chrome Troyanizadas MetaMask (nkbihfbeogaeaoehlefnkodbefgpgknn - ID de ejemplo, la real puede variar), Coinbase Wallet, Phantom
Técnica de Evasión (macOS) Downgrade de Chrome a versión que soporta Manifest V2
Técnicas de Ofuscación (BeaverTail) Array shuffling (300 fragmentos Base64), Base64 stripping (eliminación de primer carácter basura), XOR encryption (clave 4 bytes), split-and-swap IP encoding
Técnicas de Ofuscación (InvisibleFerret) Cython compilation, Zlib-compressed strings, XOR-encoded IPs
Funciones de Puerta Trasera Funciones que comienzan con ssh_ (en BeaverTail njs e InvisibleFerret pad)
Capacidades de Robo Keylogging (Windows), monitorización de portapapeles, robo de credenciales de navegador, robo de monederos de criptomonedas
Comportamiento Anómalo (Archivos) Creación de .pyd, .so, .mod en rutas .vscode
Comportamiento Anómalo (Procesos) python.exe cargando mod.pyd desde .vscode\, python3 cargando mod.so desde .vscode/
Comportamiento Anómalo (Red) Tráfico a ip-api[.]com/json, conexiones a 45[.]59[.]160[.]199
Comportamiento Anómalo (macOS) Downgrade de Chrome (versión de Chrome reducida), instalación de extensiones de navegador no solicitadas

Etiquetas / Categorías

void-dokkaebi famous-chollima north-korea invisibleferret beavertail cython pyd so malware-obfuscation developer-targeted fake-job-interview cryptocurrency-theft metamask coinbase-wallet phantom-wallet chrome-downgrade manifest-v3 keylogging clipboard-monitoring trend-micro trendai-research cyber-security-news kazuki-fujisawa tushar-subhra-dutta apt state-sponsored supply-chain-attack ci-cd code-signing ciberwiki

Obtenido de «https://darfe.es/ciberwiki/index.php?title=Void_Dokkaebi_/_InvisibleFerret_Cython-Obfuscated_Malware_Campaign_(North_Korean_APT)&oldid=3015»