La campagne de logiciels malveillants Stark#Mule cible les Coréens et utilise des documents de l'armée américaine

Une campagne de logiciels malveillants en langue coréenne connue sous le nom de Stark#Mule cible les victimes utilisant des documents de recrutement militaire américain comme leurres, puis exécute des logiciels malveillants mis en scène à partir de sites Web de commerce électronique coréens légitimes mais compromis.

La société de sécurité Securonix a découvert la campagne d'attaque Stark # Mule, qui, selon elle, permet aux acteurs de la menace de se déguiser au milieu du trafic normal du site Web.

La campagne semble cibler les victimes de langue coréenne en Corée du Sud, indiquant une origine possible de l'attaque de la Corée du Nord voisine.

L'une des tactiques utilisées consiste à envoyer des e-mails de phishing ciblés écrits en coréen, qui déposent des documents d'apparence légitime dans une archive zip avec des références au recrutement de l'armée américaine et Main-d'œuvre et affaires de réserve ressources incluses dans les documents.

Les attaquants ont mis en place un système complexe qui leur permet de se faire passer pour des visiteurs légitimes du site Web, ce qui rend difficile la détection lorsqu'ils transmettent des logiciels malveillants et prennent le contrôle de la machine de la victime.

Ils utilisent également des documents trompeurs qui prétendent offrir des informations sur l'armée américaine et le recrutement militaire, un peu comme des pots de miel.

En incitant les récepteurs à ouvrir les documents, le virus est involontairement exécuté. La dernière étape implique une infection difficile qui communique via HTTP et s'intègre dans l'ordinateur de la victime, ce qui la rend difficile à trouver et à supprimer.

"Il semble qu'ils ciblent un groupe particulier, ce qui laisse entendre que l'effort peut être lié à la Corée du Nord, en mettant l'accent sur les victimes de langue coréenne", déclare Zac Warren, conseiller en chef pour la sécurité, EMEA, chez Tanium. "Cela soulève la possibilité de cyberattaques ou d'espionnage parrainés par l'État."

Stark#Mule peut également avoir mis la main sur un éventuel zero-day ou au moins une variante d'une vulnérabilité connue de Microsoft Office, permettant aux acteurs de la menace de prendre pied sur le système ciblé simplement en demandant à l'utilisateur ciblé d'ouvrir la pièce jointe.

Oleg Kolesnikov, vice-président de la recherche sur les menaces, cybersécurité pour Securonix, déclare que sur la base de l'expérience antérieure et de certains des indicateurs actuels qu'il a vus, il y a de fortes chances que la menace provienne de la Corée du Nord.

"Cependant, le travail sur l'attribution finale est toujours en cours", dit-il. "L'une des choses qui le distinguent, ce sont les tentatives d'utilisation de documents liés à l'armée américaine pour attirer les victimes ainsi que l'exécution de logiciels malveillants mis en scène à partir de sites Web coréens légitimes et compromis."

Il ajoute que l'évaluation de Securonix du niveau de sophistication de la chaîne d'attaque est moyenne et note que ces attaques s'alignent sur les activités passées de groupes nord-coréens typiques comme APT37, avec la Corée du Sud et ses responsables gouvernementaux comme cibles principales.

"La méthode initiale de déploiement de logiciels malveillants est relativement triviale", dit-il. "Les charges utiles ultérieures observées semblent être assez uniques et relativement bien obscurcies."

Warren dit qu'en raison de sa méthodologie avancée, de ses stratégies astucieuses, de son ciblage précis, de l'implication présumée de l'État et de la persistance difficile du virus, Stark#Mule est "absolument significatif".

Le succès grâce à l'ingénierie sociale

Mayuresh Dani, responsable de la recherche sur les menaces chez Qualys, souligne que le contournement des contrôles du système, l'évasion en se fondant dans le trafic de commerce électronique légitime et l'obtention d'un contrôle total sur une cible désignée, tout en restant non détecté, rendent cette menace remarquable. 

« L'ingénierie sociale a toujours été la cible la plus facile dans une chaîne d'attaque. Lorsque vous mélangez la rivalité politique menant à la curiosité, vous avez une recette parfaite pour le compromis », dit-il.

Mike Parkin, ingénieur technique senior chez Vulcan Cyber, convient qu'une attaque d'ingénierie sociale réussie nécessite un bon crochet.

"Ici, il semble que l'acteur de la menace ait réussi à créer des sujets suffisamment intéressants pour que leurs cibles mordent à l'hameçon", dit-il. "Cela montre la connaissance qu'a l'attaquant de sa cible et ce qui est susceptible de piquer son intérêt."

Il ajoute que la Corée du Nord est l'un des nombreux pays connus pour brouiller les frontières entre la cyberguerre, le cyberespionnage et les activités cybercriminelles.

"Compte tenu de la situation géopolitique, des attaques comme celle-ci sont un moyen pour eux de se déchaîner pour faire avancer leur programme politique sans courir le risque sérieux qu'il dégénère en véritable guerre", a déclaré Parkin. 

Une cyberguerre fait rage dans un pays divisé

La Corée du Nord et la Corée du Sud sont historiquement en désaccord depuis leur séparation - toute information qui donne le dessus à l'autre partie est toujours la bienvenue.

Actuellement, la Corée du Nord intensifie l'offensive dans le monde physique en testant des missiles balistiques, et elle essaie également de faire de même dans le monde numérique.

"Ainsi, bien que l'origine d'une attaque soit pertinente, les efforts de cybersécurité doivent se concentrer sur la détection globale des menaces, la préparation à la réponse et la mise en œuvre des meilleures pratiques pour se protéger contre un large éventail de menaces potentielles, quelle que soit leur source", déclare Dani. 

Selon lui, l'armée américaine collaborera avec ses États partenaires, y compris d'autres agences gouvernementales, des alliés internationaux et des organisations du secteur privé, pour partager des informations sur les menaces liées à Stark # Mule et d'éventuelles mesures correctives.

« Cette approche collaborative renforcera les efforts globaux de cybersécurité et est cruciale pour favoriser la coopération internationale en matière de cybersécurité », note-t-il. « L'informatique permet à d'autres pays et organisations de renforcer leurs défenses et de se préparer à des attaques potentielles, ce qui conduit à une réponse mondiale mieux coordonnée aux cybermenaces.

Le groupe de menace persistante avancée (APT) Lazarus, parrainé par l'État nord-coréen, est de retour avec encore une autre escroquerie d'usurpation d'identité, cette fois en se faisant passer pour des développeurs ou des recruteurs avec des comptes GitHub ou de réseaux sociaux légitimes.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Automobile / VE, Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• Décalages de bloc. Modernisation de la propriété des compensations environnementales. Accéder ici.
• La source: https://www.darkreading.com/attacks-breaches/stark-mule-malware-campaign-targets-koreans-uses-us-army-documents