Campania Stark#Mule Malware vizează coreenii, folosește documente ale armatei SUA

O campanie de malware în limba coreeană, cunoscută sub numele de Stark#Mule, vizează victimele folosind documente de recrutare a armatei americane ca momeală, apoi rulează programe malware puse în scenă de pe site-uri web coreene de comerț electronic legitime, dar compromise.

Firma de securitate Securonix a descoperit campania de atac Stark#Mule, despre care a spus că permite actorilor amenințărilor să se deghizeze în mijlocul traficului normal de site-uri.

Campania pare să vizeze victimele vorbitoare de coreeană din Coreea de Sud, indicând o posibilă origine a atacului din vecina Coreea de Nord.

Una dintre tacticile utilizate este trimiterea de e-mailuri de tip phishing scrise în coreeană, care aruncă documente cu aspect legitim într-o arhivă zip cu referiri la recrutarea și recrutarea armatei americane. Manpower & Reserve Affairs resurse incluse în documente.

Atacatorii au creat un sistem complex care le permite să treacă drept vizitatori legitimi ai site-ului web, ceea ce face dificilă detectarea când transmit malware și preiau mașina victimei.

Ei folosesc, de asemenea, materiale înșelătoare care pretind să ofere informații despre armata SUA și recrutarea militară, la fel ca honeypots.

Păcălindu-i pe receptori să deschidă documentele, virusul este executat neintenționat. Ultima etapă implică o infecție dificilă care comunică prin HTTP și se înglobează în computerul victimei, ceea ce face dificilă găsirea și eliminarea.

„Se pare că vizează un anumit grup, ceea ce sugerează că efortul poate fi legat de Coreea de Nord, cu accent pe victimele vorbitoare de coreeană”, spune Zac Warren, consilier șef de securitate, EMEA, la Tanium. „Acest lucru ridică posibilitatea unor atacuri cibernetice sau spionaj sponsorizate de stat.”

Stark#Mule s-ar putea, de asemenea, să fi pus mâna pe o posibilă zero-day sau cel puțin o variantă a unei vulnerabilități cunoscute Microsoft Office, permițând actorilor amenințărilor să pună picior în sistemul vizat doar prin faptul că utilizatorul vizat deschide atașamentul.

Oleg Kolesnikov, vicepreședinte pentru cercetarea amenințărilor, securitate cibernetică pentru Securonix, spune, pe baza experienței anterioare și a unora dintre indicatorii actuali pe care i-a văzut, există șanse mari ca amenințarea să provină din Coreea de Nord.

„Cu toate acestea, lucrările privind atribuirea finală sunt încă în curs”, spune el. „Unul dintre lucrurile care îl fac să iasă în evidență este încercările de a folosi documente legate de armata SUA pentru a atrage victimele, precum și rularea de programe malware create de pe site-uri web coreene legitime, compromise.”

El adaugă că evaluarea de către Securonix a nivelului de sofisticare al lanțului de atac este medie și constată că aceste atacuri se aliniază cu activitățile anterioare ale unor grupuri tipice din Coreea de Nord, cum ar fi APT37, cu Coreea de Sud și oficialii săi guvernamentali ca ținte principale.

„Metoda inițială de implementare a malware-ului este relativ trivială”, spune el. „Încărcările utile ulterioare observate par a fi destul de unice și relativ bine ascunse.”

Warren spune că datorită metodologiei sale avansate, strategiilor viclene, țintirii precise, suspectării implicării statului și persistenței dificile a virusului, Stark#Mule este „absolut semnificativ”.

Succesul prin inginerie socială

Mayuresh Dani, manager de cercetare a amenințărilor la Qualys, subliniază ocolirea controalelor sistemului, evaziunea prin amestecarea cu traficul legitim de comerț electronic și obținerea controlului complet asupra unei ținte alocate, fără a fi detectată, toate fac ca această amenințare să fie demnă de remarcat. 

„Ingineria socială a fost întotdeauna cea mai ușoară țintă dintr-un lanț de atac. Când amesteci rivalitatea politică care duce la curiozitate în acest sens, ai o rețetă perfectă pentru compromis”, spune el.

Mike Parkin, inginer tehnic senior la Vulcan Cyber, este de acord că un atac de succes de inginerie socială necesită un cârlig bun.

„Aici, se pare că actorul amenințării a reușit să creeze subiecți suficient de interesanți pentru ca țintele lor să ia momeală”, spune el. „Afișează cunoștințele atacatorului despre ținta lor și ce ar putea să-i stârnească interesul.”

El adaugă că Coreea de Nord este una dintre numeroasele națiuni despre care se știe că estompează liniile dintre războiul cibernetic, spionajul cibernetic și activitatea criminală cibernetică.

„Având în vedere situația geopolitică, astfel de atacuri reprezintă o modalitate prin care pot ataca pentru a-și promova agenda politică fără a avea un risc serios ca aceasta să se transforme într-un război real”, spune Parkin. 

Un război cibernetic declanșează într-o țară divizată

Coreea de Nord și Coreea de Sud au fost istoric în conflict de când s-au despărțit - orice informație care oferă celeilalte părți un avantaj este întotdeauna binevenită.

În prezent, Coreea de Nord intensifică ofensiva în lumea fizică testând rachete balistice și încearcă, de asemenea, să facă același lucru în lumea digitală.

„Ca atare, deși originea unui atac este relevantă, eforturile de securitate cibernetică ar trebui să se concentreze pe detectarea generală a amenințărilor, pregătirea pentru răspuns și implementarea celor mai bune practici pentru a proteja împotriva unei game largi de potențiale amenințări, indiferent de sursa acestora”, spune Dani. 

După cum vede el, armata americană va colabora cu statele sale partenere, inclusiv cu alte agenții guvernamentale, aliați internaționali și organizații din sectorul privat, pentru a împărtăși informații despre amenințări legate de Stark#Mule și posibile acțiuni de remediere.

„Această abordare de colaborare va consolida eforturile generale de securitate cibernetică și este crucială pentru stimularea cooperării internaționale în domeniul securității cibernetice”, notează el. „IT permite altor țări și organizații să-și îmbunătățească apărarea și să se pregătească pentru potențiale atacuri, ceea ce duce la un răspuns global mai coordonat la amenințările cibernetice.”

Grupul de amenințare persistentă avansată (APT) Lazarus, sponsorizat de statul nord-coreean, s-a întors cu încă o înșelătorie de uzurpare a identității, de data aceasta dându-se drept dezvoltatori sau recrutori cu conturi GitHub sau rețele sociale legitime.

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• PlatoData.Network Vertical Generative Ai. Împuterniciți-vă. Accesați Aici.
• PlatoAiStream. Web3 Intelligence. Cunoștințe amplificate. Accesați Aici.
• PlatoESG. Automobile/VE-uri, carbon, CleanTech, Energie, Mediu inconjurator, Solar, Managementul deșeurilor. Accesați Aici.
• BlockOffsets. Modernizarea proprietății de compensare a mediului. Accesați Aici.
• Sursa: https://www.darkreading.com/attacks-breaches/stark-mule-malware-campaign-targets-koreans-uses-us-army-documents