Le groupe d’analyse des menaces (TAG) de Google a révélé jeudi qu’il avait agi pour atténuer les menaces de deux groupes d’attaquants distincts soutenus par le gouvernement basés en Corée du Nord qui exploitaient une faille d’exécution de code à distance récemment découverte dans le navigateur Web Chrome.
Les campagnes, une fois de plus « reflétant les préoccupations et les priorités immédiates du régime », auraient ciblé des organisations basées aux États-Unis couvrant les secteurs des médias d’information, de l’informatique, de la crypto-monnaie et de la fintech, un ensemble d’activités partageant des chevauchements directs d’infrastructure avec des attaques précédentes visant à des chercheurs en sécurité l’année dernière.
La vulnérabilité en question est CVE-2022-0609, une vulnérabilité d’utilisation après libération dans le composant d’animation du navigateur que Google a corrigé dans le cadre des mises à jour (version 98.0.4758.102) publiées le 14 février 2022. C’est aussi le premier jour zéro. faille corrigée par le géant de la tech depuis début 2022.
« La première preuve que nous ayons du déploiement actif de ce kit d’exploit date du 4 janvier 2022 », a déclaré Adam Weidemann, chercheur chez Google TAG. mentionné dans un rapport. « Nous soupçonnons que ces groupes travaillent pour la même entité avec une chaîne d’approvisionnement partagée, d’où l’utilisation du même kit d’exploit, mais chacun opère avec un ensemble de missions différent et déploie des techniques différentes. »
La première campagne, cohérente avec les TTP associés à ce que la société israélienne de cybersécurité ClearSky a décrit comme « Opération Emploi de Rêve » en août 2020, était dirigée contre plus de 250 personnes travaillant pour 10 médias d’information, registraires de domaine, fournisseurs d’hébergement Web et éditeurs de logiciels différents, les attirant avec de fausses offres d’emploi d’entreprises comme Disney, Google et Oracle.
L’utilisation de fausses listes d’emplois est une tactique éprouvée du groupe Lazarus, qui, plus tôt en janvier, a été découvert en train de se faire passer pour la société américaine de sécurité mondiale et d’aérospatiale Lockheed Martin pour distribuer des charges utiles de logiciels malveillants aux personnes à la recherche d’un emploi dans l’industrie aérospatiale et de la défense. .
« Le double scénario d’espionnage et de vol d’argent est unique à la Corée du Nord, qui exploite des unités de renseignement qui volent à la fois des informations et de l’argent pour leur pays », ont noté à l’époque les chercheurs de ClearSky.
Le deuxième groupe d’activités qui aurait exploité le même jour zéro de Chrome concerne l’opération AppleJeus, qui a compromis au moins deux sites Web légitimes de sociétés de technologie financière pour servir l’exploit à pas moins de 85 utilisateurs.
le trousse d’exploitationselon Google TAG, est conçu comme une chaîne d’infection en plusieurs étapes qui consiste à intégrer le code d’attaque dans des cadres Internet cachés sur les sites Web compromis ainsi que sur les sites Web escrocs sous leur contrôle.
« Dans d’autres cas, nous avons observé de faux sites Web – déjà configurés pour distribuer des applications de crypto-monnaie trojanisées – hébergeant iframes et diriger leurs visiteurs vers le kit d’exploit », a déclaré Weidemann.
L’étape initiale comprenait une phase de reconnaissance pour identifier les machines ciblées, suivie de la diffusion de l’exploit d’exécution de code à distance (RCE), qui, en cas de succès, a conduit à la récupération d’un package de deuxième étape conçu pour échapper au bac à sable et effectuer d’autres activités post-exploitation.
Google TAG, qui a découvert les campagnes le 10 février, a noté qu’il était « incapable de récupérer l’une des étapes qui ont suivi le RCE initial », soulignant que les acteurs de la menace ont utilisé plusieurs garanties, y compris l’utilisation du cryptage AES, conçu explicitement pour brouiller les pistes et entraver la reprise des étapes intermédiaires.
De plus, les campagnes ont vérifié les visiteurs utilisant des navigateurs non basés sur Chromium tels que Safari sur macOS ou Mozilla Firefox (sur n’importe quel système d’exploitation), redirigeant les victimes vers des liens spécifiques sur des serveurs d’exploitation connus. Il n’est pas immédiatement clair si l’une de ces tentatives a été fructueuse.
Les découvertes arrivent alors que la société de renseignement sur les menaces Mandiant cartographié différents sous-groupes Lazarus à diverses organisations gouvernementales en Corée du Nord, notamment le Bureau général de reconnaissance, le Département du front uni (UFD) et le ministère de la Sécurité d’État (MSS).
Lazare est le surnom de parapluie faisant collectivement référence aux opérations d’espionnage provenant du royaume ermite fortement sanctionné, de la même manière Winnti et MuddyWater fonctionnent comme un conglomérat de plusieurs équipes pour aider la Chine et l’Iran à atteindre leurs objectifs géopolitiques et de sécurité nationale.
« L’appareil de renseignement de la Corée du Nord possède la flexibilité et la résilience nécessaires pour créer des cyber-unités basées sur les besoins du pays », ont déclaré les chercheurs de Mandiant. « De plus, des chevauchements dans l’infrastructure, les logiciels malveillants et les tactiques, techniques et procédures indiquent qu’il existe des ressources partagées entre leurs cyber-opérations. »