קמפיין Stark#Mule Malware מכוון לקוריאנים, משתמש במסמכי צבא ארה"ב

מסע פרסום של תוכנות זדוניות בשפה הקוריאנית המכונה Stark#Mule מכוון לקורבנות המשתמשים במסמכי גיוס של צבא ארה"ב בתור פתיונות, ולאחר מכן מפעיל תוכנות זדוניות מאתרי מסחר אלקטרוני קוריאניים לגיטימיים אך בסיכון.

חברת האבטחה Securonix גילתה את מסע התקפות Stark#Mule, שלדבריה מאפשר לשחקני איום להסוות את עצמם בתוך תעבורה רגילה לאתר.

נראה כי הקמפיין מכוון לקורבנות דוברי קוריאנית בדרום קוריאה, מה שמצביע על מקור תקיפה אפשרי מצפון קוריאה השכנה.

אחת הטקטיקות בהן נעשה שימוש היא שליחת הודעות דיוג ממוקדות הכתובות בקוריאנית, אשר משחררות מסמכים בעלי מראה לגיטימי בארכיון zip עם הפניות לגיוס לצבא ארה"ב כח אדם וענייני מילואים משאבים הכלולים במסמכים.

התוקפים הקימו מערכת מורכבת המאפשרת להם לעבור למבקרים לגיטימיים באתר, מה שמקשה על זיהוי מתי הם משדרים תוכנות זדוניות ומשתלטות על המחשב של הקורבן.

הם גם משתמשים בחומרים מטעים שמתיימרים להציע מידע על גיוס צבא ארה"ב וצבא, בדומה לעציצים.

על ידי הטעיית הכונסים לפתוח את המסמכים, הנגיף מבוצע ללא כוונה. השלב האחרון כולל זיהום קשה שמתקשר באמצעות HTTP ומטמיע את עצמו במחשב של הקורבן, מה שהופך אותו למאתגר למצוא ולהסיר אותו.

"נראה שהם מכוונים לקבוצה מסוימת, מה שמרמז שהמאמץ עשוי להיות קשור לצפון קוריאה, עם דגש על קורבנות דוברי קוריאנית", אומר זאק וורן, יועץ אבטחה ראשי, EMEA, בטניום. "זה מעלה את האפשרות של התקפות סייבר או ריגול בחסות המדינה".

ייתכן ש-Stark#Mule גם הניחה את ידיה על יום אפס אפשרי או לפחות גרסה של פגיעות ידועה של Microsoft Office, מה שמאפשר לשחקני האיום להשיג דריסת רגל על ​​המערכת הממוקדת רק על ידי כך שהמשתמש הממוקד יפתח את הקובץ המצורף.

אולג קולסניקוב, סגן נשיא לחקר איומים, אבטחת סייבר של Securonix, אומר על סמך ניסיון קודם וחלק מהאינדיקטורים הנוכחיים שראה, יש סיכוי טוב שהאיום מקורו בצפון קוריאה.

"עם זאת, העבודה על הייחוס הסופי עדיין בעיצומה", הוא אומר. "אחד הדברים שמבליטים אותו הוא ניסיונות להשתמש במסמכים הקשורים לצבא ארה"ב כדי לפתות קורבנות, כמו גם להפעיל תוכנות זדוניות מאתרים קוריאנים לגיטימיים שנפגעו".

הוא מוסיף כי הערכתה של Securonix לגבי רמת התחכום של שרשרת התקיפה היא בינונית ומציין שהתקפות אלו עולות בקנה אחד עם פעילויות העבר של קבוצות צפון קוריאניות טיפוסיות כמו APT37, עם דרום קוריאה ופקידי הממשלה שלה כמטרות העיקריות.

"שיטת הפריסה הראשונית של תוכנות זדוניות היא טריוויאלית יחסית", הוא אומר. "המטענים הבאים שנצפו נראים די ייחודיים ויחסית מעורפלים היטב."

וורן אומר שבגלל המתודולוגיה המתקדמת, האסטרטגיות הערמומיות, המיקוד המדויק, החשד למעורבות המדינה והתמדה הקשה של הנגיף, Stark#Mule הוא "משמעותי לחלוטין".

הצלחה באמצעות הנדסה חברתית

Mayuresh Dani, מנהל מחקר איומים ב-Qualys, מצביע על עקיפת בקרות המערכת, התחמקות על ידי התמזגות עם תעבורת מסחר אלקטרוני לגיטימית, והשגת שליטה מלאה על יעד ייעודי, כל הזמן לא מזוהה, כל אלה הופכים את האיום הזה לראוי לציון. 

"הנדסה חברתית תמיד הייתה המטרה הקלה ביותר בשרשרת תקיפה. כשמערבבים לזה יריבות פוליטית שמובילה לחקרנות, יש לך מתכון מושלם לפשרה", הוא אומר.

מייק פרקין, מהנדס טכני בכיר ב-Vulcan Cyber, מסכים שמתקפה מוצלחת של הנדסה חברתית דורשת חיבור טוב.

"כאן, נראה ששחקן האיום הצליח ליצור נושאים מעניינים מספיק כדי שהמטרות שלהם יצליחו לקחת את הפיתיון", הוא אומר. "זה מראה את הידע של התוקף על היעד שלו, ומה עשוי לעורר את העניין שלו".

הוא מוסיף שצפון קוריאה היא אחת מכמה מדינות שידועות כמטשטשות את הקווים בין לוחמת סייבר, ריגול סייבר ופשעי סייבר.

"בהתחשב במצב הגיאופוליטי, התקפות כאלה הן אחת הדרכים שבהן הם יכולים להתפרץ כדי לקדם את האג'נדה הפוליטית שלהם מבלי שיש להם סיכון רציני שזה יסלים ללוחמה ממשית", אומר פרקין. 

מלחמת סייבר משתוללת במדינה מפוצלת

קוריאה הצפונית ודרום קוריאה היו מסוכסכות היסטורית מאז הפרידה שלהן - כל מידע שנותן לצד השני יד על העליונה תמיד מבורך.

נכון לעכשיו, צפון קוריאה מגבירה את ההתקפה בעולם הפיזי על ידי ניסוי טילים בליסטיים, והיא גם מנסה לעשות את אותו הדבר בעולם הדיגיטלי.

"ככזה, בעוד שמקור ההתקפה רלוונטי, מאמצי אבטחת הסייבר צריכים להתמקד באיתור איומים כולל, מוכנות לתגובה ויישום שיטות עבודה מומלצות להגנה מפני מגוון רחב של איומים פוטנציאליים, ללא קשר למקורם", אומר דני. 

כפי שהוא רואה זאת, צבא ארה"ב ישתף פעולה עם המדינות השותפות שלו, כולל סוכנויות ממשלתיות אחרות, בעלי ברית בינלאומיים וארגונים במגזר הפרטי, כדי לחלוק מודיעין איומים הקשור ל-Stark#Mule ופעולות תיקון אפשריות.

"גישה שיתופית זו תחזק את מאמצי אבטחת הסייבר הכוללים והיא חיונית לטיפוח שיתוף פעולה בינלאומי באבטחת סייבר", הוא מציין. "IT מאפשר למדינות וארגונים אחרים לשפר את ההגנה שלהם ולהתכונן להתקפות אפשריות, מה שמוביל לתגובה גלובלית מתואמת יותר לאיומי סייבר".

קבוצת האיום המתקדם (APT) בחסות המדינה הצפון קוריאנית של לזרוס חזרה עם עוד תרמית התחזות, הפעם מתחזים למפתחים או מגייסים עם חשבונות GitHub או מדיה חברתית לגיטימיים.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. רכב / רכבים חשמליים, פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• BlockOffsets. מודרניזציה של בעלות על קיזוז סביבתי. גישה כאן.
• מקור: https://www.darkreading.com/attacks-breaches/stark-mule-malware-campaign-targets-koreans-uses-us-army-documents