Investigadores de ciberseguridad han descubierto una campaña sofisticada en la que actores de amenazas se hacen pasar por escritores de importantes cadenas de radiodifusión coreanas para distribuir documentos maliciosos.

La operación, rastreada como Operación Artemis, representa una notable evolución en las tácticas de ingeniería social al aprovechar a personalidades mediáticas de confianza para establecer credibilidad con posibles víctimas antes de entregar cargas útiles dañinas.

La campaña demuestra una estrategia de ataque en varias etapas que combina el engaño con métodos avanzados de evasión técnica.

Los actores de amenazas contactan a las víctimas a través de comunicaciones por correo electrónico disfrazadas de solicitudes de entrevistas legítimas u oportunidades de colaboración profesional.

Los atacantes se presentan como escritores establecidos de reconocidos programas de televisión coreanos, utilizando propuestas con un sonido auténtico relacionadas con asuntos de Corea del Norte y cuestiones de derechos humanos para alinearse con los intereses de los objetivos.

Este enfoque resulta particularmente eficaz porque los temas resuenan con académicos, periodistas y expertos en política que interactúan con frecuencia con organizaciones de medios de comunicación.

Los analistas de Genians identificaron que el malware emerge de documentos HWP maliciosos: archivos Hangul Word Processor que sirven como el formato de documento estándar en Corea del Sur.

Estos archivos envenenados llegan como archivos adjuntos enmascarados como cuestionarios de entrevistas o materiales de guía de eventos. Una vez que una víctima abre el documento y hace clic en hipervínculos incrustados, la cadena de infección se inicia silenciosamente en segundo plano.

La implementación técnica revela una considerable sofisticación. El ataque aprovecha la carga lateral de DLL, una técnica en la que las utilidades del sistema legítimas de Microsoft Sysinternals se convierten en cómplices involuntarios.

Los actores de amenazas colocan archivos DLL maliciosos junto a ejecutables legítimos, lo que hace que Windows cargue la biblioteca corrupta en su lugar.

Específicamente, el malware crea archivos llamados version.dll que se cargan por procesos legítimos como vhelp.exe y mhelp.exe.

Este método evade las herramientas de seguridad basadas en firmas tradicionales porque los procesos primarios parecen legítimos para el software antivirus estándar.

El archivo DLL emplea múltiples capas de cifrado utilizando operaciones XOR con valores clave como 0xFA y 0x29 para ocultar su verdadero propósito.

Dependiendo de las capacidades del sistema de destino, el malware selecciona de forma inteligente entre la descifrado XOR estándar byte a byte o los métodos SSE (Streaming SIMD Extensions) de alta velocidad que procesan 16 bytes simultáneamente.

Este enfoque adaptativo aumenta la velocidad de procesamiento manteniendo el sigilo contra los sistemas de seguridad de coincidencia de patrones.

Desglose técnico de la carga lateral de DLL

El malware finalmente implementa RoKRAT, una sofisticada herramienta de robo de datos. La cadena de infección consiste en la ejecución de objetos OLE dentro de los documentos HWP, seguida de la implementación de archivos ejecutables y DLL maliciosos en carpetas temporales.

La carga útil se somete a etapas secuenciales de descifrado XOR antes de activarse como shellcode final.

El análisis forense reveló que los actores de amenazas mantuvieron la infraestructura de comando y control a través de los servicios Yandex Cloud en Rusia, con tokens de cuenta que muestran fechas de registro que van desde octubre de 2023 hasta febrero de 2025, lo que indica una capacidad operativa sostenida.

La detección requiere el monitoreo del comportamiento a través de soluciones de detección y respuesta de puntos finales en lugar del escaneo de archivos convencional.

Los equipos de seguridad deben monitorear la carga anormal de DLL desde directorios temporales, los procesos secundarios sospechosos generados a partir de ejecutables legítimos y las conexiones salientes a la infraestructura en la nube inmediatamente después de la ejecución del documento.

La campaña subraya cómo los actores de amenazas continúan refinando sus metodologías para explotar la confianza y las brechas de detección técnica simultáneamente.