В процессе расследования взлома разведывательный центр AhnLab SEcurity (ASEC) обнаружил новую операцию, связанную с группой Kimsuky, и назвал ее Larva-24005.1 Злоумышленники использовали уязвимость RDP для проникновения в систему. Затем они изменили конфигурацию системы, установив вредоносное ПО MySpy и RDPWrap, чтобы создать непрерывную среду удаленного доступа. Кроме того, они заразили систему кейлоггером, который записывал клавиатурный ввод пользователя.
Описание
С октября 2023 года эти злоумышленники атакуют программное обеспечение, энергетику и финансовую отрасль Южной Кореи и рассылают фишинговые письма в Южную Корею и Японию. Анализ инфраструктуры, используемой в атаках, подтвердил, что злоумышленники атаковали Южную Корею, США, Китай, Японию, Германию, Сингапур и другие страны, такие как ЮАР, Нидерланды, Мексика, Вьетнам, Бельгия, Великобритания, Канада, Таиланд и Польша, начиная с сентября 2023 года.
В некоторых системах первоначальный доступ был получен путем эксплуатации уязвимости RDP (BlueKeep, CVE-2019-0708). Хотя сканер уязвимости RDP был обнаружен во взломанной системе, нет никаких доказательств его фактического использования. Злоумышленник также использовал другие способы распространения вредоносного ПО, например, прикреплял один и тот же файл к электронным письмам и использовал уязвимость Microsoft Office Equation Editor (CVE-2017-11882).
Получив доступ к системе, злоумышленник использовал дроппер для установки вредоносной программы MySpy и RDPWrap, а также изменял системные настройки, чтобы разрешить доступ по RDP.
На заключительном этапе злоумышленник заражал систему кейлоггерами KimaLogger или RandomQuery для сбора вводимых пользователем ключей.
Журналы электронной почты показывают, что с некоторых систем, использовавшихся в атаке, жертвам в Корее и Японии были отправлены фишинговые письма.
Индикаторы компрометации
