Um novo ator de ameaças norte-coreano, codinome Moonstone Sleet, foi atribuído como responsável por ataques cibernéticos direcionados a pessoas e organizações nos setores de software, tecnologia da informação, educação e base industrial de defesa com ransomware e malware personalizado anteriormente associado ao infame Grupo Lazarus.

“Moonstone Sleet é observado criando empresas e oportunidades de emprego falsas para se envolver com possíveis alvos, empregar versões trojanizadas de ferramentas legítimas, criar um jogo malicioso e fornecer um novo ransomware personalizado”, disse a equipe de Inteligência de Ameaças da Microsoft em uma nova análise.

Também caracterizou o ator de ameaças como usando uma combinação de técnicas testadas e verdadeiras utilizadas por outros atores de ameaças norte-coreanos e metodologias de ataque únicas para atingir seus objetivos estratégicos.

O adversário, até então rastreado pela Redmond sob o nome de cluster emergente Storm-1789, é avaliado como um grupo alinhado ao estado que originalmente exibia fortes sobreposições táticas com o Grupo Lazarus (também conhecido como Diamond Sleet), antes de estabelecer sua própria identidade distinta por meio de infraestrutura e artesanato separados.

As semelhanças com o Lazarus incluem o reuso extensivo de códigos de malware conhecidos, como o Comebacker, que foi observado pela primeira vez em janeiro de 2021 em conexão com uma campanha direcionada a pesquisadores de segurança trabalhando em pesquisa e desenvolvimento de vulnerabilidades.

Outros ataques detectados pela Microsoft desde fevereiro de 2024 usaram um jogo de tanques malicioso chamado DeTankWar (também conhecido como DeFiTankWar, DeTankZone e TankWarsZone) que é distribuído para os alvos por e-mail ou plataformas de mensagens, enquanto acrescenta uma camada de legitimidade criando sites falsos e contas em X (anteriormente Twitter).

“A diversidade de táticas do Moonstone Sleet é notável não apenas por sua eficácia, mas também por como elas evoluíram a partir de vários outros atores de ameaças norte-coreanos ao longo de muitos anos de atividade para atender aos objetivos cibernéticos norte-coreanos”, disse a empresa.