Los piratas informáticos norcoreanos atacan la cadena de suministro atacando una vulnerabilidad de Internet Explorer

Una vulnerabilidad de día cero descubierta recientemente en Internet Explorer ha vuelto a exponer la persistente amenaza del ciberespionaje. ¿La última víctima? Una agencia de publicidad comprometida por el notorio grupo norcoreano APT37 , también conocido como RedEyes, Reaper, ScarCruft, Group123 y TA-RedAnt. Este sofisticado ataque pone de relieve la capacidad del grupo para explotar tecnología obsoleta, utilizando una falla en Internet Explorer para atacar a los usuarios a través de vulnerabilidades de la cadena de suministro.

Una vulnerabilidad explotada a plena vista

Identificada como CVE-2024-38178, la vulnerabilidad está vinculada a un problema de corrupción de memoria dentro del motor de scripts de Internet Explorer. Si bien Microsoft dejó de brindar soporte a Internet Explorer en 2022, muchas aplicaciones, incluido el software publicitario, siguen dependiendo de su código subyacente para funcionar. En concreto, la vulnerabilidad existe en jscript9.dll, un componente del motor del navegador que permanece integrado en el software, lo que lo deja vulnerable a ataques.

Según AhnLab y el Centro Nacional de Seguridad Cibernética de Corea del Sur (NCSC), APT37 apuntó al motor de navegador vulnerable para lanzar un ataque sin necesidad de hacer clic. Esto significa que los usuarios no necesitaban interactuar con enlaces o archivos maliciosos para que sus sistemas se vieran comprometidos. La falla permitía la ejecución remota de código, lo que permitía a los atacantes tomar el control de las máquinas afectadas simplemente mediante la exposición a anuncios comprometidos.

Cómo se desarrolló el ataque

El ataque comenzó cuando APT37 comprometió el servidor de publicidad de una empresa coreana responsable del programa de publicidad Toast, que se incluía en varios programas gratuitos. El servidor comprometido distribuyó anuncios maliciosos a través del programa de publicidad a sistemas que ejecutaban el motor vulnerable Internet Explorer. A medida que se descargaban y mostraban estos anuncios, el código malicioso se ejecutaba sin interacción del usuario, lo que daba como resultado un ataque sin necesidad de hacer clic.

APT37 utilizó esta vulnerabilidad como punto de entrada para enviar malware a los sistemas afectados . Probablemente, esto formaba parte de un esfuerzo más amplio para atacar a personas involucradas en asuntos de Corea del Sur, incluidos desertores, activistas, periodistas y legisladores.

El parche de Microsoft y los riesgos actuales

El 13 de agosto, Microsoft lanzó un parche para CVE-2024-38178, que solucionaba la vulnerabilidad al exigir a los usuarios que hicieran clic en una URL creada. Sin embargo, este parche llegó demasiado tarde para la agencia de publicidad afectada y sus usuarios. Incluso con esta solución, la presencia del motor de Internet Explorer en el software heredado sigue siendo un riesgo importante.

AhnLab advierte que muchas aplicaciones siguen utilizando el componente WebView de Internet Explorer para mostrar contenido web, lo que las hace vulnerables a este tipo de ataques. El hecho de que un navegador que dejó de funcionar hace más de dos años todavía esté siendo explotado subraya la importancia de actualizar el software con regularidad y reemplazar los sistemas antiguos.

Protección contra ataques de día cero

La explotación de CVE-2024-38178 por parte de APT37 sirve como un duro recordatorio de la necesidad de que las organizaciones se mantengan alertas ante las vulnerabilidades de día cero, incluso en software obsoleto. A continuación, se indican algunos pasos que las empresas y los particulares pueden seguir para reducir el riesgo de ataques similares:

• Actualizaciones periódicas de software : asegúrese de que todo el software esté actualizado y descontinúe el uso de aplicaciones obsoletas o no compatibles.
• Monitorizar los indicadores de compromiso (IoC) : AhnLab ha publicado un informe que contiene los IoC relacionados con este ataque. Las organizaciones deben supervisar sus redes en busca de estos indicadores para detectar cualquier signo de compromiso.
• Aislar el software vulnerable : si ciertas aplicaciones dependen de componentes de software más antiguos y vulnerables, aíslelos del resto de su red para evitar la propagación de malware en caso de un ataque.

Lecciones de la persistencia de APT37

APT37, también conocido como RedEyes, tiene un largo historial de ataques a individuos y grupos de alto perfil, a menudo utilizando vulnerabilidades de día cero para obtener acceso. Su última campaña demuestra que, incluso después de una década de actividad, siguen siendo una amenaza cibernética importante.

En el cambiante panorama cibernético actual, ataques como estos son un recordatorio de que el eslabón más débil de la cadena de suministro puede causar daños generalizados. Las actualizaciones periódicas, el conocimiento de las vulnerabilidades conocidas y las prácticas de seguridad sólidas son defensas esenciales contra amenazas persistentes avanzadas como APT37.

Mientras el software heredado siga en uso, los cibercriminales seguirán explotando estas vulnerabilidades ocultas. Para mantenerse a la vanguardia es necesario adoptar un enfoque proactivo en materia de ciberseguridad, ya que el próximo ataque de día cero puede estar a la vuelta de la esquina.