InkySquid Nordkoreanska APT utnyttjar IE -buggar
Ett team av forskare som arbetar med säkerhetsföretaget Volexity upptäckte en vattenhålsattack som utfördes av en hotaktör som kallas InkySquid. Handtaget InkySquid tillhör en avancerad ihållande hotaktör eller APT, som tros fungera utanför Nordkorea och ha statlig stöd.
Vattenhålsattacken som utfördes av InkySquid, även känd som APT37, syftade till en publikation baserad i Sydkorea, som behandlar nyheter och historier relaterade till Nordkorea. Offret heter Daily NK.
En vattenhålsattack är termen som används i infosec för en speciell typ av attackvektor. I en vattenhålsattack injicerar hotaktörerna skadlig kod till en webbplats som vanligtvis används av representanter för det avsedda målet för attacken. När människor som arbetar för målorganisationen besöker webbplatsen, infekterar deras personliga system infektionen och ger sedan hackarna möjlighet att ytterligare infiltrera deras nätverk.
Attackerna missbrukar en känd sårbarhet i gamla versioner av Internet Explorer. Sårbarhetsbeteckningen är CVE-2020-1380 och den påverkar bara äldre versioner av Internet Explorer, som nu till stor del har ersatts med installationer av Microsofts Edge-webbläsare.
Vattenhålsattacken utförs med skadlig kod, begravd djupt inne i den legitima koden som webbplatsen kör. Enligt Volexity -forskarna gör detta det mycket svårt att upptäcka skadlig programvara, både för automatiska skannrar och för manuell upptäckt.
InkySquid -hackarna använde ett JavaScript -bibliotek samt sin egen skadliga kod för att injicera webbplatsen med skadlig kod. Den första nyttolasten är dold inuti kodade strängar, lagrade i taggarna för SVG -vektorfiler. Kommando- och kontrollinfrastrukturen som används av InkySquid i denna attack är helt beroende av molntjänster.
Bluelight malware-familjen som representerar den slutliga nyttolasten, skräddarsydd av InkySquid, använder både Microsofts och Googles molntjänster och -appar som sina kommando- och kontrollpunkter.
När skadlig programvara har distribuerats kan den samla in och exfiltrera information från offrets system, inklusive IP -adress, alla VM -datorer som körs, OS -version bland andra.
Attacken riktar sig mot avskrivna versioner av Microsofts IE -webbläsare, så det är inte så farligt som det kan tyckas vid första anblicken, men det faktum att den skadliga koden var dold så bra bland vattenhålets webbplats legitima kod visar att hackarna bakom kampanjen har stor skicklighet.
