Noord-Koreaanse hackers richten zich op kwetsbaarheid van Internet Explorer in aanval op toeleveringsketen

Een onlangs ontdekte zero-day kwetsbaarheid in Internet Explorer heeft opnieuw de aanhoudende dreiging van cyberespionage blootgelegd. Het nieuwste slachtoffer? Een reclamebureau dat is gecompromitteerd door de beruchte Noord-Koreaanse APT37-groep , ook bekend als RedEyes, Reaper, ScarCruft, Group123 en TA-RedAnt. Deze geavanceerde aanval benadrukt het vermogen van de groep om verouderde technologie te misbruiken, door een fout in Internet Explorer te gebruiken om gebruikers te targeten via kwetsbaarheden in de toeleveringsketen.

Een kwetsbaarheid die in het zicht wordt uitgebuit

De kwetsbaarheid, die wordt gevolgd als CVE-2024-38178, is gekoppeld aan een geheugencorruptieprobleem in de scripting engine van Internet Explorer. Hoewel Microsoft in 2022 de ondersteuning voor Internet Explorer heeft beëindigd, vertrouwen veel applicaties, waaronder advertentiesoftware, nog steeds op de onderliggende code om te functioneren. De kwetsbaarheid bevindt zich met name in jscript9.dll, een browser engine-component die in software is ingebed, waardoor deze kwetsbaar is voor aanvallen.

Volgens AhnLab en het National Cyber Security Center (NCSC) van Zuid-Korea richtte APT37 zich op de kwetsbare browser-engine om een zero-click-aanval uit te voeren. Dit betekent dat gebruikers niet met schadelijke links of bestanden hoefden te interacteren om hun systemen te compromitteren. De fout maakte uitvoering van code op afstand mogelijk, waardoor de aanvallers de controle over de getroffen machines konden overnemen door simpelweg blootgesteld te worden aan gecompromitteerde advertenties.

Hoe de aanval zich ontvouwde

De aanval begon toen APT37 de advertentieserver van een Koreaans bedrijf achter het Toast-advertentieprogramma, dat werd gebundeld met verschillende gratis software, in gevaar bracht. De gecompromitteerde server verspreidde vervolgens schadelijke advertenties via het advertentieprogramma naar systemen die de kwetsbare Internet Explorer-engine draaiden. Terwijl deze advertenties werden gedownload en weergegeven, werd de schadelijke code uitgevoerd zonder enige interactie van de gebruiker, wat resulteerde in een zero-click-aanval.

APT37 gebruikte deze kwetsbaarheid als toegangspunt om malware te leveren aan de getroffen systemen . Dit was waarschijnlijk onderdeel van een bredere poging om individuen te targeten die betrokken waren bij Zuid-Koreaanse zaken, waaronder overlopers, activisten, journalisten en beleidsmakers.

Microsoft's patch en aanhoudende risico's

Microsoft bracht op 13 augustus een patch uit voor CVE-2024-38178, die de kwetsbaarheid aanpakt door gebruikers te verplichten op een gemanipuleerde URL te klikken. Deze patch kwam echter te laat voor het gecompromitteerde reclamebureau en zijn gebruikers. Zelfs met deze oplossing blijft de aanwezigheid van de engine van Internet Explorer in verouderde software een aanzienlijk risico.

AhnLab waarschuwt dat veel applicaties nog steeds het WebView-component van Internet Explorer gebruiken om webinhoud te renderen, waardoor ze kwetsbaar zijn voor dit type aanval. Het feit dat een browser die meer dan twee jaar geleden is stopgezet nog steeds wordt uitgebuit, onderstreept het belang van het regelmatig updaten van software en het vervangen van verouderde systemen.

Bescherming tegen zero-day-exploits

De exploitatie van CVE-2024-38178 door APT37 is een duidelijke herinnering aan de noodzaak voor organisaties om waakzaam te blijven tegen zero-day kwetsbaarheden, zelfs in verouderde software. Hier zijn een paar stappen die bedrijven en individuen kunnen nemen om het risico op soortgelijke aanvallen te verminderen:

• Regelmatige software-updates : zorg ervoor dat alle software up-to-date is en stop met het gebruik van verouderde of niet-ondersteunde applicaties.
• Monitor Indicators of Compromise (IoCs) : AhnLab heeft een rapport gepubliceerd met IoCs gerelateerd aan deze aanval. Organisaties moeten hun netwerken monitoren op deze indicatoren om tekenen van compromis te detecteren.
• Isoleer kwetsbare software : als bepaalde applicaties afhankelijk zijn van oudere, kwetsbare softwarecomponenten, isoleer deze dan van de rest van uw netwerk om te voorkomen dat malware zich verspreidt in het geval van een aanval.

Lessen uit de persistentie van APT37

APT37, ook bekend als RedEyes, heeft een lange geschiedenis van het targeten van vooraanstaande personen en groepen, vaak met behulp van zero-day kwetsbaarheden om toegang te krijgen. Hun laatste campagne laat zien dat ze zelfs na een decennium van activiteit nog steeds een significante cyberdreiging vormen.

In het huidige veranderende cyberlandschap zijn aanvallen als deze een herinnering dat de zwakste schakel in de toeleveringsketen wijdverspreide schade kan veroorzaken. Regelmatige updates, bewustzijn van bekende kwetsbaarheden en robuuste beveiligingspraktijken zijn essentiële verdedigingen tegen geavanceerde persistente bedreigingen zoals APT37.

Zolang legacy software in gebruik blijft, zullen cybercriminelen deze verborgen kwetsbaarheden blijven uitbuiten. Om voorop te blijven lopen, is een proactieve benadering van cybersecurity nodig, want de volgende zero-day exploit kan zomaar om de hoek liggen.