I ricercatori di cybersecurity hanno individuato una nuova campagna malevola legata al gruppo di minaccia sponsorizzato dallo stato nordcoreano noto come Kimsuky. Questa campagna sfrutta una vulnerabilità ormai risolta che colpiva i Microsoft Remote Desktop Services per ottenere l’accesso iniziale. L’attività è stata denominata Larva-24005 dall’AhnLab Security Intelligence Center (ASEC).
vulnerabilità RDP e phishing
In alcuni sistemi, l’accesso iniziale è stato ottenuto sfruttando la vulnerabilità RDP (BlueKeep, CVE-2019-0708), come riportato dalla società di cybersecurity sudcoreana. Sebbene sia stato trovato uno scanner di vulnerabilità RDP nel sistema compromesso, non ci sono prove del suo effettivo utilizzo. CVE-2019-0708 è un bug critico nei Remote Desktop Services che potrebbe consentire l’esecuzione di codice remoto, permettendo agli attaccanti non autenticati di installare programmi arbitrari, accedere ai dati e persino creare nuovi account con diritti completi. Tuttavia, per sfruttare la falla, un avversario dovrebbe inviare una richiesta appositamente creata al servizio RDP del sistema target. Microsoft ha risolto questa vulnerabilità nel maggio 2019.
Un altro vettore di accesso iniziale adottato dal gruppo di minaccia è l’uso di email di phishing contenenti file che attivano un’altra vulnerabilità nota dell’Equation Editor (CVE-2017-11882).
installazione di malware e strumenti di accesso remoto
Una volta ottenuto l’accesso, gli attaccanti utilizzano un dropper per installare un ceppo di malware chiamato MySpy e uno strumento di accesso remoto noto come RDPWrap, oltre a modificare le impostazioni di sistema per consentire l’accesso RDP. MySpy è progettato per raccogliere informazioni sul sistema.
cattura delle sequenze di tasti
L’attacco culmina con il dispiegamento di keylogger come KimaLogger e RandomQuery per catturare le sequenze di tasti. La campagna è stata inviata a vittime in Corea del Sud e Giappone, principalmente nei settori del software, dell’energia e finanziario, a partire da ottobre 2023. Altri paesi presi di mira dal gruppo includono Stati Uniti, Cina, Germania, Singapore, Sud Africa, Paesi Bassi, Messico, Vietnam, Belgio, Regno Unito, Canada, Thailandia e Polonia.
Fonte: The Hackers News