La campagna malware Stark#Mule prende di mira i coreani e utilizza documenti dell'esercito americano

Una campagna malware in lingua coreana nota come Stark#Mule prende di mira le vittime utilizzando documenti di reclutamento militare statunitense come esche, quindi eseguendo malware messo in scena da siti Web di e-commerce coreani legittimi ma compromessi.

La società di sicurezza Securonix ha scoperto la campagna di attacco Stark#Mule, che secondo lei consente agli autori delle minacce di mascherarsi nel normale traffico del sito web.

La campagna sembra prendere di mira le vittime di lingua coreana nella Corea del Sud, indicando una possibile origine dell'attacco dalla vicina Corea del Nord.

Una delle tattiche utilizzate è l'invio di e-mail di phishing mirate scritte in coreano, che rilasciano documenti dall'aspetto legittimo in un archivio zip con riferimenti al reclutamento e al reclutamento dell'esercito americano. Manodopera e affari di riserva risorse incluse nei documenti.

Gli aggressori hanno creato un sistema complesso che consente loro di passare per visitatori legittimi del sito Web, rendendo difficile individuare quando trasmettono malware e prendono il controllo del computer della vittima.

Impiegano anche materiali ingannevoli che pretendono di offrire informazioni sull'esercito americano e sul reclutamento militare, proprio come gli honeypot.

Inducendo i destinatari ad aprire i documenti, il virus viene eseguito involontariamente. L'ultima fase prevede un'infezione difficile che comunica tramite HTTP e si incorpora nel computer della vittima, rendendone difficile la ricerca e la rimozione.

"Sembra che stiano prendendo di mira un gruppo particolare, il che suggerisce che l'operazione potrebbe essere collegata alla Corea del Nord, con particolare attenzione alle vittime di lingua coreana", afferma Zac Warren, capo consulente per la sicurezza, EMEA, presso Tanium. “Ciò aumenta la possibilità di attacchi informatici o spionaggio sponsorizzati dallo stato”.

Stark#Mule potrebbe anche aver messo le mani su un possibile zero-day o almeno una variante di una nota vulnerabilità di Microsoft Office, consentendo agli autori delle minacce di prendere piede sul sistema preso di mira semplicemente facendo aprire l'allegato all'utente preso di mira.

Oleg Kolesnikov, vicepresidente della ricerca sulle minacce e della sicurezza informatica di Securonix, afferma che, sulla base dell'esperienza precedente e di alcuni degli indicatori attuali che ha visto, ci sono buone probabilità che la minaccia provenga dalla Corea del Nord.

"Tuttavia, il lavoro sull'attribuzione finale è ancora in corso", afferma. "Una delle cose che lo distingue sono i tentativi di utilizzare documenti relativi all'esercito americano per attirare le vittime, nonché l'esecuzione di malware messo in scena da siti Web coreani legittimi e compromessi."

Aggiunge che la valutazione di Securonix del livello di sofisticazione della catena di attacchi è media e nota che questi attacchi sono in linea con le attività passate di tipici gruppi nordcoreani come APT37, con la Corea del Sud e i suoi funzionari governativi come obiettivi primari.

"Il metodo iniziale di distribuzione del malware è relativamente banale", afferma. “I successivi carichi utili osservati sembrano essere abbastanza unici e relativamente ben offuscati”.

Warren afferma che, grazie alla sua metodologia avanzata, alle strategie astute, al targeting preciso, al sospetto coinvolgimento dello stato e alla difficile persistenza del virus, Stark#Mule è “assolutamente significativo”.

Il successo attraverso l'ingegneria sociale

Mayuresh Dani, responsabile della ricerca sulle minacce presso Qualys, sottolinea che aggirare i controlli di sistema, evadere mimetizzandosi con il traffico di e-commerce legittimo e ottenere il controllo completo su un obiettivo mirato, pur rimanendo inosservato, sono tutti fattori che rendono questa minaccia degna di nota. 

“L’ingegneria sociale è sempre stata l’obiettivo più facile in una catena di attacchi. Quando a questo si unisce la rivalità politica che porta alla curiosità, si ottiene una ricetta perfetta per il compromesso”, afferma.

Mike Parkin, ingegnere tecnico senior presso Vulcan Cyber, concorda che un attacco di ingegneria sociale di successo richiede un buon gancio.

"In questo caso sembra che l'autore della minaccia sia riuscito a creare soggetti sufficientemente interessanti da indurre i suoi obiettivi ad abboccare all'esca", afferma. "Mostra la conoscenza dell'aggressore del proprio obiettivo e di ciò che potrebbe suscitare il suo interesse."

Aggiunge che la Corea del Nord è una delle tante nazioni note per confondere i confini tra guerra informatica, spionaggio informatico e attività criminale informatica.

“Data la situazione geopolitica, attacchi come questo sono un modo per promuovere la loro agenda politica senza correre il serio rischio che si trasformino in una vera e propria guerra”, afferma Parkin. 

Una guerra cibernetica infuria in un paese diviso

La Corea del Nord e la Corea del Sud sono storicamente ai ferri corti sin dalla loro separazione: qualsiasi informazione che dia all’altra parte un vantaggio è sempre benvenuta.

Attualmente, la Corea del Nord sta intensificando l’offensiva nel mondo fisico testando missili balistici, e sta anche cercando di fare lo stesso nel mondo digitale.

“Pertanto, sebbene l’origine di un attacco sia rilevante, gli sforzi di sicurezza informatica dovrebbero concentrarsi sul rilevamento generale delle minacce, sulla prontezza di risposta e sull’implementazione delle migliori pratiche per proteggersi da un’ampia gamma di potenziali minacce, indipendentemente dalla loro fonte”, afferma Dani. 

Per come la vede lui, l’esercito americano collaborerà con gli stati partner, comprese altre agenzie governative, alleati internazionali e organizzazioni del settore privato, per condividere informazioni sulle minacce relative a Stark#Mule e possibili azioni correttive.

“Questo approccio collaborativo rafforzerà gli sforzi complessivi in ​​materia di sicurezza informatica ed è fondamentale per promuovere la cooperazione internazionale nel campo della sicurezza informatica”, osserva. “L’IT consente ad altri paesi e organizzazioni di rafforzare le proprie difese e prepararsi a potenziali attacchi, portando a una risposta globale più coordinata alle minacce informatiche”.

Il gruppo Lazarus Advanced Persistent Threat (APT), sponsorizzato dallo stato nordcoreano, è tornato l'ennesima truffa per furto d'identità, questa volta fingendosi sviluppatori o reclutatori con account GitHub o social media legittimi.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Automobilistico/VE, Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• BlockOffset. Modernizzare la proprietà della compensazione ambientale. Accedi qui.
• Fonte: https://www.darkreading.com/attacks-breaches/stark-mule-malware-campaign-targets-koreans-uses-us-army-documents