Kampanja zlonamerne programske opreme Stark#Mule cilja na Korejce, uporablja dokumente ameriške vojske

Kampanja zlonamerne programske opreme v korejskem jeziku, znana kot Stark#Mule, cilja na žrtve, ki kot vabe uporabljajo dokumente o novačenju ameriške vojske, nato pa izvajajo zlonamerno programsko opremo, uprizorjeno z zakonitih, a ogroženih korejskih spletnih mest za e-trgovino.

Varnostno podjetje Securonix je odkrilo kampanjo napada Stark#Mule, ki akterjem groženj omogoča, da se prikrijejo med običajnim prometom na spletnem mestu.

Zdi se, da je kampanja usmerjena na korejsko govoreče žrtve v Južni Koreji, kar kaže na možen izvor napada iz sosednje Severne Koreje.

Ena od uporabljenih taktik je pošiljanje ciljno usmerjenih lažnih e-poštnih sporočil, napisanih v korejščini, ki v arhivu zip vržejo legitimne dokumente s sklicevanjem na novačenje ameriške vojske in Človeška sila in rezervne zadeve vire, vključene v dokumente.

Napadalci so vzpostavili zapleten sistem, ki jim omogoča prehod za zakonite obiskovalce spletnega mesta, zaradi česar je težko zaznati, kdaj prenašajo zlonamerno programsko opremo in prevzemajo žrtvin stroj.

Uporabljajo tudi zavajajoče materiale, ki domnevno ponujajo informacije o ameriški vojski in vojaškem novačenju, podobno kot honeypots.

S preslepitvijo prejemnikov, da odprejo dokumente, se virus nenamerno izvrši. Zadnja stopnja vključuje težko okužbo, ki komunicira prek HTTP-ja in se vgradi v računalnik žrtve, zaradi česar jo je težko najti in odstraniti.

»Zdi se, kot da ciljajo na določeno skupino, kar namiguje, da je prizadevanje morda povezano s Severno Korejo, s poudarkom na korejsko govorečih žrtvah,« pravi Zac Warren, glavni svetovalec za varnost, EMEA, pri Taniumu. "To povečuje možnost kibernetskih napadov ali vohunjenja, ki jih sponzorira država."

Stark#Mule se je prav tako morda dokopal do morebitne ničelne ranljivosti ali vsaj različice znane ranljivosti Microsoft Office, ki povzročiteljem grožnje omogoča, da se oprimejo ciljnega sistema samo tako, da ciljni uporabnik odpre priponko.

Oleg Kolesnikov, podpredsednik oddelka za raziskave groženj, kibernetska varnost za Securonix, pravi, da glede na prejšnje izkušnje in nekatere trenutne kazalnike, ki jih je videl, obstaja velika verjetnost, da grožnja izvira iz Severne Koreje.

"Vendar delo na končni dodelitvi še vedno poteka," pravi. "Ena od stvari, zaradi katerih izstopa, so poskusi uporabe dokumentov, povezanih z ameriško vojsko, za privabljanje žrtev, kot tudi zagon zlonamerne programske opreme, uprizorjene z zakonitih, ogroženih korejskih spletnih mest."

Dodaja, da je Securonixova ocena stopnje zahtevnosti verige napadov srednja in ugotavlja, da so ti napadi usklajeni s preteklimi dejavnostmi tipičnih severnokorejskih skupin, kot je APT37, pri čemer so glavne tarče Južna Koreja in njeni vladni uradniki.

»Začetna metoda uvajanja zlonamerne programske opreme je razmeroma nepomembna,« pravi. "Naslednje opažene koristne obremenitve se zdijo precej edinstvene in razmeroma dobro prikrite."

Warren pravi, da je Stark#Mule zaradi svoje napredne metodologije, zvitih strategij, natančnega ciljanja, domnevne vpletenosti države in težavne obstojnosti virusa "popolnoma pomemben."

Uspeh s socialnim inženiringom

Mayuresh Dani, vodja raziskave groženj pri Qualysu, poudarja, da je ta grožnja omembe vredna zaradi obhoda nadzora sistema, izogibanja z mešanjem z zakonitim prometom e-trgovine in pridobitve popolnega nadzora nad določeno tarčo, medtem ko ostane neodkrita. 

»Socialni inženiring je bil vedno najlažja tarča v verigi napadov. Ko k temu primešate politično rivalstvo, ki vodi do radovednosti, imate popoln recept za kompromis,« pravi.

Mike Parkin, višji tehnični inženir pri Vulcan Cyber, se strinja, da je za uspešen napad socialnega inženiringa potrebna dobra povezava.

"Tukaj se zdi, da je akterju grožnje uspelo ustvariti teme, ki so dovolj zanimive, da so njihove tarče zagrizle v vabo," pravi. "Pokaže, da napadalec pozna svojo tarčo in kaj bi lahko vzbudilo njihovo zanimanje."

Dodaja, da je Severna Koreja ena od mnogih držav, za katere je znano, da brišejo meje med kibernetskim bojevanjem, kibernetskim vohunjenjem in dejavnostmi kibernetskega kriminala.

"Glede na geopolitične razmere so napadi, kot je ta, eden od načinov, kako lahko napadejo svojo politično agendo, ne da bi resno tvegali, da bi prerasla v dejansko vojno," pravi Parkin. 

Kibernetska vojna divja v razdeljeni državi

Severna in Južna Koreja sta bili zgodovinsko v sporu od njune ločitve – vsaka informacija, ki drugi strani daje prednost, je vedno dobrodošla.

Trenutno Severna Koreja krepi napad v fizičnem svetu s preizkušanjem balističnih izstrelkov in poskuša storiti enako v digitalnem svetu.

»Čeprav je izvor napada pomemben, bi se morala prizadevanja za kibernetsko varnost osredotočiti na splošno odkrivanje groženj, pripravljenost na odziv in izvajanje najboljših praks za zaščito pred širokim naborom potencialnih groženj, ne glede na njihov vir,« pravi Dani. 

Po njegovem mnenju bo ameriška vojska sodelovala s svojimi partnerskimi državami, vključno z drugimi vladnimi agencijami, mednarodnimi zavezniki in organizacijami zasebnega sektorja, da bi izmenjala obveščevalne podatke o grožnjah v zvezi s Stark#Mule in možnimi sanacijskimi ukrepi.

»Ta sodelovalni pristop bo okrepil splošna prizadevanja za kibernetsko varnost in je ključnega pomena za spodbujanje mednarodnega sodelovanja na področju kibernetske varnosti,« ugotavlja. "IT omogoča drugim državam in organizacijam, da izboljšajo svojo obrambo in se pripravijo na morebitne napade, kar vodi do bolj usklajenega globalnega odziva na kibernetske grožnje."

Skupina Lazarus Advanced Persistent Threat (APT), ki jo sponzorira severnokorejska država, se vrača še ena prevara z lažnim predstavljanjem, ki se tokrat predstavljajo kot razvijalci ali zaposlovalci z zakonitimi računi GitHub ali družbenih medijev.

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• PlatoData.Network Vertical Generative Ai. Opolnomočite se. Dostopite tukaj.
• PlatoAiStream. Web3 Intelligence. Razširjeno znanje. Dostopite tukaj.
• PlatoESG. Avtomobili/EV, Ogljik, CleanTech, Energija, Okolje, sončna energija, Ravnanje z odpadki. Dostopite tukaj.
• BlockOffsets. Posodobitev okoljskega offset lastništva. Dostopite tukaj.
• vir: https://www.darkreading.com/attacks-breaches/stark-mule-malware-campaign-targets-koreans-uses-us-army-documents