Търсене
Close this search box.

Севернокорейски спайуер събира чувствителна информация

Коварният софтуер ексфилтрира цялата поща и прикачени файлове в Gmail, излагайки на риск чувствителни документи

Злонамерено разширение на браузъра, свързано със Северна Корея, работи незабелязано, за да открадне данни от Gmail и AOL сесии.

Разширението, наречено „SHARPEXT“ от изследователите, наблюдава уеб страниците, за да анализира автоматично всички имейли и прикачени файлове от пощенските кутии на жертвите.

Това представлява особено сериозна заплаха за машините, използвани от организациите за бизнес операции, тъй като всяка чувствителна информация, изпратена по имейл, има потенциал да бъде открадната. До момента са идентифицирани цели в САЩ, ЕС и Южна Корея.

Фирмата за киберсигурност Volexity разкри съществуването на шпионския софтуер в  публикация в блога си и го свърза със заплаха, проследена  под името SharpTongue, но известна публично като Kimsuky. Смята се, че това образувание е от севернокорейски произход и изследователите са свързали SharpTongue с атаки срещу цели, свързани с националната сигурност на редица държави.

ArsTechnica съобщава, че президентът на Volexity Стивън Адеър заявява, че SHARPEXT е инсталиран чрез „фишинг и социално инженерство, при което жертвата е заблудена да отвори злонамерен документ“. Фишингът е често срещан вектор, използван за доставяне на злонамерени програми, като LockBit 2.0, който се разпространява по имейл, маскиран като PDF файлове.

За да постави основите на разширението, заплахата ръчно ексфилтрира файлове като предпочитанията на потребителя и предпочитанията за защита. Те се променят, за да включват изключения за злонамереното разширение и след това се изтеглят обратно на заразената машина чрез инфраструктурата за управление и контрол (C2) на злонамерения софтуер.

След като оригиналните файлове бъдат сменени за тези копия, SHARPEXT се зарежда директно от папката appdata на жертвата. Веднъж активирано, разширението изпълнява код директно от C2 сървъра, което има предимството да не позволява на антивирусния софтуер да открие зловреден код в самото разширение.

Освен това изпълняването на код по този начин позволява на малуера редовно да актуализира кода, без да се налага да инсталира отново по-нови версии на разширението на заразени системи. Всъщност разширението в момента е в третата си итерация, като предишните версии са по-ограничени в съвместимостта на браузъра и пощенския клиент.

В момента SHARPEXT поддържа Google Chrome и Microsoft Edge, както и браузър, наречен Whale, който е доста популярен в Южна Корея, но не и в други страни.

Разширението се активира само когато браузър Chromium работи и използва слушатели за наблюдение на активността, за да се увери, че са откраднати само имейл данни. Глобалните променливи проследяват имейлите, имейл адресите и прикачените файлове, които вече са били ексфилтрирани, за да се предотврати ненужно дублиране на данни.

В допълнение към функциите си за ексфилтрация, разширението внедрява скрипт Powershell, който постоянно проверява за съвместими процеси на браузъра и ако бъде намерен такъв, изпълнява скрипт за натискане на клавиш, който отваря панела DevTools.

Едновременно с това друг скрипт работи, за да скрие прозореца DevTools и всичко, което може да направи жертвата подозрителна, като например предупреждението на Edge, че разширение работи в режим за разработчици.

Volexity съветва екипите за сигурност в рамките на организациите да преглеждат редовно разширенията, особено тези, инсталирани на машини, свързани със силно чувствителна информация.

Източник: itpro.co.uk

Подобни публикации

22 юни 2024

Пробивът в JAXA не е довел до изтичане на важна...

Японската космическа агенция твърди, че няма изтичане на класифицир...

Cyber Europe тества енергийния сектор

Седмото издание на Cyber Europe, едно от най-големите учения за киб...
22 юни 2024

ЕВРО 2024: Хакери удариха излъчването на Полша ...

Хакери нарушиха онлайн излъчването на мача на Полша с Австрия от Ев...
22 юни 2024

Panera Bread призна за изтичане на данни

Американската верига за бързо хранене Panera Bread е започнала да у...
21 юни 2024

Change Healthcare най-после с подробности за ат...

UnitedHealth за първи път потвърди какви видове медицински данни и ...
21 юни 2024

САЩ наложиха санкции на 12 ръководители на Kasp...

Службата за контрол на чуждестранните активи (OFAC) към Министерств...
Бъдете социални
Още по темата
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
21/06/2024

Хакери на Хамас шпионират П...

Хакери, свързани с Хамас, са замесени...
18/06/2024

Лондонските болници още не ...

Няколко лондонски болници, които все още...
Последно добавени
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
22/06/2024

Cyber Europe тества енергий...

Седмото издание на Cyber Europe, едно...
22/06/2024

ЕВРО 2024: Хакери удариха и...

Хакери нарушиха онлайн излъчването на мача...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!