InkySquid APT nord-coréen exploite les bogues d'IE

Une équipe de chercheurs travaillant avec la société de sécurité Volexity a repéré une attaque en point d'eau menée par un acteur malveillant connu sous le nom d'InkySquid. La poignée InkySquid appartient à un acteur avancé de la menace persistante ou APT, qui opérerait à partir de la Corée du Nord et aurait le soutien de l'État.

L'attaque au point d'eau menée par InkySquid, également connue sous le nom d'APT37, visait une publication basée en Corée du Sud, traitant d'actualités et d'histoires liées à la Corée du Nord. La victime s'appelle Daily NK.

Une attaque « wateringhole » est le terme utilisé dans infosec pour un type spécial de vecteur d'attaque. Lors d'une attaque de trou d'eau, les acteurs de la menace injectent des logiciels malveillants dans un site Web qui est couramment utilisé par les représentants de la cible de l'attaque. Lorsque des personnes travaillant pour l'organisation cible visitent le site Web, leurs systèmes personnels contractent l'infection et donnent ensuite aux pirates la possibilité d'infiltrer davantage leur réseau.

Les attaques abusent d'une vulnérabilité connue dans les anciennes versions d'Internet Explorer. La désignation de la vulnérabilité est CVE-2020-1380 et elle n'affecte que les anciennes versions d'Internet Explorer, qui a maintenant été en grande partie remplacée par des installations du navigateur Edge de Microsoft.

L'attaque en trou d'eau est effectuée à l'aide d'un code malveillant, enfoui profondément dans le code légitime exécuté par le site. Selon les chercheurs de Volexity, cela rend très difficile la détection du malware, tant pour les scanners automatisés que pour la détection manuelle.

Les pirates InkySquid ont utilisé une bibliothèque JavaScript ainsi que leur propre code malveillant pour injecter des logiciels malveillants sur le site. La charge utile initiale est cachée dans des chaînes encodées, stockées dans les balises des fichiers vectoriels SVG. L'infrastructure de commandement et de contrôle utilisée par InkySquid dans cette attaque repose entièrement sur les services cloud.

La famille de logiciels malveillants Bluelight qui représente la charge utile finale, conçue sur mesure par InkySquid, utilise à la fois les services et les applications cloud de Microsoft et de Google comme points de commande et de contrôle.

Une fois le malware déployé, il peut collecter et exfiltrer des informations du système victime, notamment l'adresse IP, toutes les machines VM en cours d'exécution, la version du système d'exploitation, entre autres.

L'attaque vise les versions dépréciées du navigateur IE de Microsoft, elle n'est donc pas aussi dangereuse qu'il n'y paraît à première vue, mais le fait que le code malveillant était si bien caché parmi le code légitime du site du point d'eau montre que les pirates derrière le campagne ont une habileté considérable.