InkySquid Nordkoreanisches APT nutzt IE-Bugs aus

Ein Forscherteam, das mit der Sicherheitsfirma Volexity zusammenarbeitete, entdeckte einen Watering-Hole-Angriff, der von einem Bedrohungsakteur namens InkySquid durchgeführt wurde. Das Handle InkySquid gehört zu einem Advanced Persistent Threat Actor oder APT, von dem angenommen wird, dass er von Nordkorea aus operiert und vom Staat unterstützt wird.

Der Watering-Hole-Angriff von InkySquid, auch bekannt als APT37, richtete sich gegen eine in Südkorea ansässige Publikation, die sich mit Nachrichten und Geschichten über Nordkorea befasste. Das Opfer heißt Daily NK.

Als Watering-Hole-Attacke bezeichnet man in der Infosec einen speziellen Angriffsvektor. Bei einem Watering-Hole-Angriff injizieren die Angreifer Malware in eine Website, die häufig von Vertretern des beabsichtigten Angriffsziels verwendet wird. Wenn Personen, die für die Zielorganisation arbeiten, die Website besuchen, erleiden ihre persönlichen Systeme die Infektion und geben den Hackern dann die Möglichkeit, ihr Netzwerk weiter zu infiltrieren.

Die Angriffe missbrauchen eine bekannte Schwachstelle in alten Versionen des Internet Explorers. Die Schwachstelle trägt die Bezeichnung CVE-2020-1380 und betrifft nur ältere Versionen des Internet Explorers, die inzwischen größtenteils durch Installationen von Microsofts Edge-Browser ersetzt wurden.

Der Watering-Hole-Angriff wird mit bösartigem Code ausgeführt, der tief im legitimen Code der Website vergraben ist. Dies macht es den Volexity-Forschern zufolge sehr schwierig, die Malware zu erkennen, sowohl für automatisierte Scanner als auch für die manuelle Erkennung.

Die InkySquid-Hacker verwendeten eine JavaScript-Bibliothek sowie ihren eigenen Schadcode, um die Website mit Malware zu injizieren. Die anfängliche Nutzlast ist in codierten Strings versteckt, die in den Tags von SVG-Vektordateien gespeichert sind. Die von InkySquid bei diesem Angriff verwendete Befehls- und Kontrollinfrastruktur basiert vollständig auf Cloud-Diensten.

Die von InkySquid maßgeschneiderte Bluelight-Malware-Familie, die die endgültige Nutzlast darstellt, verwendet sowohl Microsoft- als auch Google-Cloud-Dienste und -Apps als Befehls- und Kontrollpunkte.

Sobald die Malware bereitgestellt wurde, kann sie Informationen vom Opfersystem sammeln und exfiltrieren, einschließlich der IP-Adresse, aller ausgeführten VM-Maschinen, der Betriebssystemversion unter anderem.

Der Angriff richtet sich gegen abgewertete Versionen des IE-Browsers von Microsoft, ist also nicht so gefährlich, wie es auf den ersten Blick erscheinen mag, aber die Tatsache, dass der Schadcode so gut im legitimen Code der Watering-Hole-Site versteckt war, zeigt, dass die Hacker dahinter stecken Kampagne verfügen über beträchtliche Fähigkeiten.