Cheval de Troie SuperBear déployé contre des cibles sud-coréennes

Une récente attaque de phishing, visant probablement des organisations de la société civile en Corée du Sud, a découvert un cheval de Troie innovant d'accès à distance appelé SuperBear. La violation visait spécifiquement un activiste anonyme qui, fin août 2023, avait reçu un fichier LNK malveillant provenant d'une adresse prétendant être membre de l'organisation à but non lucratif Interlabs, selon un nouveau rapport d'Interlabs.

SuperBear utilise une chaîne d'attaque à plusieurs étapes

Lors de son exécution, le fichier LNK déclenche une commande PowerShell pour exécuter un script Visual Basic, qui récupère ensuite les charges utiles des étapes suivantes à partir d'un site Web WordPress légitime mais compromis. Cette charge utile inclut le binaire Autoit3.exe (appelé « solmir.pdb ») et un script AutoIt (« solmir_1.pdb ») qui est exécuté à l'aide du premier.

Le script AutoIt, quant à lui, utilise une technique d'injection de processus connue sous le nom de processus creux, dans laquelle un code malveillant est inséré dans un processus suspendu. Dans ce cas, il crée une instance d'Explorer.exe pour injecter un RAT inconnu, nommé SuperBear, qui établit la communication avec un serveur distant pour l'exfiltration de données, le téléchargement et l'exécution de commandes shell supplémentaires et des bibliothèques de liens dynamiques (DLL).

Ovi Liber, chercheur chez Interlab, a expliqué : « L'action par défaut du serveur C2 semble demander aux clients d'exfiltrer et de traiter les données du système », ajoutant que le malware mérite son nom car « la DLL malveillante tentera de générer un nom de fichier aléatoire pour elle-même, et si elle échoue , il s'appellera « SuperBear ».

L'attaque est provisoirement attribuée à un acteur étatique nord-coréen connu sous le nom de Kimsuky (également appelé APT43 ou sous des pseudonymes tels que Emerald Sleet, Nickel Kimball et Velvet Chollima), car elle présente des similitudes avec le vecteur d'attaque initial et le PowerShell. commandes utilisées.

Plus tôt cette année, en février, Interlab a révélé que des acteurs étatiques nord-coréens avaient ciblé un journaliste sud-coréen avec un malware Android appelé RambleOn dans le cadre d'une campagne d'ingénierie sociale.