Севернокорейски спайуер събира чувствителна информация

Коварният софтуер ексфилтрира цялата поща и прикачени файлове в Gmail, излагайки на риск чувствителни документи

Злонамерено разширение на браузъра, свързано със Северна Корея, работи незабелязано, за да открадне данни от Gmail и AOL сесии.

Разширението, наречено „SHARPEXT“ от изследователите, наблюдава уеб страниците, за да анализира автоматично всички имейли и прикачени файлове от пощенските кутии на жертвите.

Това представлява особено сериозна заплаха за машините, използвани от организациите за бизнес операции, тъй като всяка чувствителна информация, изпратена по имейл, има потенциал да бъде открадната. До момента са идентифицирани цели в САЩ, ЕС и Южна Корея.

Фирмата за киберсигурност Volexity разкри съществуването на шпионския софтуер в  публикация в блога си и го свърза със заплаха, проследена  под името SharpTongue, но известна публично като Kimsuky. Смята се, че това образувание е от севернокорейски произход и изследователите са свързали SharpTongue с атаки срещу цели, свързани с националната сигурност на редица държави.

ArsTechnica съобщава, че президентът на Volexity Стивън Адеър заявява, че SHARPEXT е инсталиран чрез „фишинг и социално инженерство, при което жертвата е заблудена да отвори злонамерен документ“. Фишингът е често срещан вектор, използван за доставяне на злонамерени програми, като LockBit 2.0, който се разпространява по имейл, маскиран като PDF файлове.

За да постави основите на разширението, заплахата ръчно ексфилтрира файлове като предпочитанията на потребителя и предпочитанията за защита. Те се променят, за да включват изключения за злонамереното разширение и след това се изтеглят обратно на заразената машина чрез инфраструктурата за управление и контрол (C2) на злонамерения софтуер.

След като оригиналните файлове бъдат сменени за тези копия, SHARPEXT се зарежда директно от папката appdata на жертвата. Веднъж активирано, разширението изпълнява код директно от C2 сървъра, което има предимството да не позволява на антивирусния софтуер да открие зловреден код в самото разширение.

Освен това изпълняването на код по този начин позволява на малуера редовно да актуализира кода, без да се налага да инсталира отново по-нови версии на разширението на заразени системи. Всъщност разширението в момента е в третата си итерация, като предишните версии са по-ограничени в съвместимостта на браузъра и пощенския клиент.

В момента SHARPEXT поддържа Google Chrome и Microsoft Edge, както и браузър, наречен Whale, който е доста популярен в Южна Корея, но не и в други страни.

Разширението се активира само когато браузър Chromium работи и използва слушатели за наблюдение на активността, за да се увери, че са откраднати само имейл данни. Глобалните променливи проследяват имейлите, имейл адресите и прикачените файлове, които вече са били ексфилтрирани, за да се предотврати ненужно дублиране на данни.

В допълнение към функциите си за ексфилтрация, разширението внедрява скрипт Powershell, който постоянно проверява за съвместими процеси на браузъра и ако бъде намерен такъв, изпълнява скрипт за натискане на клавиш, който отваря панела DevTools.

Едновременно с това друг скрипт работи, за да скрие прозореца DevTools и всичко, което може да направи жертвата подозрителна, като например предупреждението на Edge, че разширение работи в режим за разработчици.

Volexity съветва екипите за сигурност в рамките на организациите да преглеждат редовно разширенията, особено тези, инсталирани на машини, свързани със силно чувствителна информация.

Източник: itpro.co.uk

Подобни публикации

19 август 2022

Хакер открадна записите на 5,4 милиона потребит...

Хакерска атака удари Twitter, след като неизвестно лице успя да отк...
19 август 2022

Microsoft намалява цените за Teams Rooms

Microsoft обяви основно преразглеждане на лицензирането на Microsof...
18 август 2022

Pentesting или сканиране за уязвимости - каква ...

Pentesting и сканирането за уязвимости често се бъркат за една и съ...
16 август 2022

SOVA криптира Android устройства

Банковият троян SOVA Android продължава да се развива с нови функци...
15 август 2022

Излезе доклада на Verizon за нарушаване на данн...

Verizon е една от най-големите телекомуникационни компании в Северн...
11 август 2022

От Анфийлд до Apple

Следващото поколение кибер таланти  расте сред бившите юноши на ...
9 август 2022

ФБР предупреждава за измамни приложения за крип...

ФБР твърди, че хакерите са откраднали 42,7 милиона долара от крипто...
Бъдете социални
Още по темата
19/08/2022

Хакер открадна записите на ...

Хакерска атака удари Twitter, след като...
05/08/2022

Испания арестува двама за а...

Служители на правоприлагащите органи обявиха ареста...
04/08/2022

CSIC още се възстановява сл...

Испанският Национален съвет за научни изследвания...
Последно добавени
19/08/2022

Хакер открадна записите на ...

Хакерска атака удари Twitter, след като...
19/08/2022

Microsoft намалява цените з...

Microsoft обяви основно преразглеждане на лицензирането...
18/08/2022

Pentesting или сканиране за...

Pentesting и сканирането за уязвимости често...
Ключови думи