Търсене
Close this search box.

Севернокорейски хакери са разкрити като извършители на атаката на 3CX

Доставчикът на корпоративни комуникационни услуги 3CX потвърди, че атаката по веригата за доставки, насочена към десктоп приложението му за Windows и macOS, е дело на група, свързана със Северна Корея.

Констатациите са резултат от междинна оценка, извършена от притежаваната от Google компания Mandiant, чиито услуги бяха използвани, след като проникването стана известно в края на миналия месец. Звеното за разузнаване на заплахи и реагиране на инциденти проследява дейността под некатегоризирания си псевдоним UNC4736.

Струва си да се отбележи, че фирмата за киберсигурност CrowdStrike приписа атаката на севернокорейската подгрупа Lazarus, наречена Labyrinth Chollima, позовавайки се на тактически припокривания.

Веригата на атаката, въз основа на анализи от множество доставчици на системи за сигурност, е включвала използването на техники за странично зареждане на DLL за зареждане на крадец на информация, известен като ICONIC Stealer, последван от втори етап, наречен Gopuram, в селективни атаки, насочени към криптокомпании.

Криминалистичното разследване на Mandiant вече разкри, че извършителите са заразили системите на 3CX със зловреден софтуер с кодово име TAXHAUL, който е предназначен за декриптиране и зареждане на шелкод, съдържащ „сложен даунлоудър“, обозначен като COLDCAT.

„В Windows нападателят е използвал странично зареждане на DLL, за да постигне устойчивост на зловредния софтуер TAXHAUL“, казват от 3CX. „Механизмът за устойчивост също така гарантира, че зловредният софтуер на атакуващия се зарежда при стартиране на системата, което позволява на атакуващия да запази отдалечен достъп до заразената система през интернет.“

Компанията заяви още, че злонамереният DLL (wlbsctrl.dll) е бил зареден от услугата Windows IKE and AuthIP IPsec Keying Modules (IKEEXT) чрез svchost.exe, легитимен системен процес.

Твърди се, че системите с macOS, обект на атаката, са били подсигурени с помощта на друг щам на зловреден софтуер, наречен SIMPLESEA – базиран на C зловреден софтуер, който комуникира чрез HTTP, за да изпълнява шел команди, да прехвърля файлове и да актуализира конфигурации.

Наблюдава се, че семействата зловреден софтуер, открити в средата на 3CX, се свързват с поне четири сървъра за управление и контрол (C2): azureonlinecloud[.]com, akamaicontainer[.]com, journalide[.]org и msboxonline[.]com.

Главният изпълнителен директор на 3CX Ник Галеа в публикация във форума миналата седмица заяви, че компанията е запозната само с „няколко случая“, в които зловредният софтуер действително е бил активиран, и че работи за „укрепване на нашите политики, практики и технологии, за да се предпазим от бъдещи атаки“. Оттогава на клиентите е предоставено актуализирано приложение.

Към момента не е установено как корейците са успели да проникнат в мрежата на 3CX и дали това е било свързано с използване на оръжие върху известна или неизвестна уязвимост. Компрометирането на веригата за доставки се проследява под идентификатора CVE-2023-29059 (CVSS оценка: 7.8).

Източник: The Hacker News

Подобни публикации

6 декември 2023

Austal USA потвърждава кибератака след изтичане...

Austal USA, корабостроителна компания и изпълнител на Министерствот...
6 декември 2023

Tipalti: няма пробив на рансъмуер, няма заплаха...

Противно на твърденията, съобщени от известната група BlackCat/ALPH...
6 декември 2023

Хакери са нарушили медицинските данни на израе...

Хакерска група твърди, че е откраднала 500 GB медицински данни от м...
6 декември 2023

Evil Twin - какво е и как да се предпазим

Използването на обществени Wi-Fi мрежи може да създаде значителни р...
5 декември 2023

СМС измамите - как да се предпазим

Получавали ли сте някога нежелано текстово съобщение, което обещава...
4 декември 2023

Ирански хакери превземат контролери на водни съ...

Критичната инфраструктура в няколко американски щата може да е била...
4 декември 2023

Рансъмуерът е безмилостен: какво можете да напр...

Не само, че броят на рансъмуерите се увеличава, но този вид зловред...
3 декември 2023

Свалянето на Qakbot: Смекчаване на последиците ...

Министерството на правосъдието на САЩ и ФБР наскоро си сътрудничиха...
2 декември 2023

Владимир Дунаев е осъден за създаването на злов...

Министерството на правосъдието на САЩ обяви, че руски гражданин е п...
Бъдете социални
Още по темата
06/12/2023

Austal USA потвърждава кибе...

Austal USA, корабостроителна компания и изпълнител...
06/12/2023

Tipalti: няма пробив на ран...

Противно на твърденията, съобщени от известната...
06/12/2023

Хакери са нарушили медицин...

Хакерска група твърди, че е откраднала...
Последно добавени
06/12/2023

Austal USA потвърждава кибе...

Austal USA, корабостроителна компания и изпълнител...
06/12/2023

Tipalti: няма пробив на ран...

Противно на твърденията, съобщени от известната...
06/12/2023

Хакери са нарушили медицин...

Хакерска група твърди, че е откраднала...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!