Una nuova campagna di cyber attacco ha sfruttato siti web sudcoreani compromessi per colpire utenti selezionati attraverso una tecnica di watering hole, trasformando una semplice visita a una pagina in un’infezione completa. Gli aggressori hanno preso di mira software di sicurezza finanziaria molto diffusi in Corea del Sud, tra cui AnySign4PC, utilizzato per firme elettroniche basate su certificati.
Il punto critico è che i sistemi vulnerabili potevano essere infettati senza alcun prompt, senza download avviati dall’utente e senza interazioni visibili.
Le autorità e diverse aziende di sicurezza hanno collegato la catena di infezione a un gruppo di minaccia sponsorizzato da uno stato. AnySign4PC risulta vulnerabile nelle versioni dalla 1.1.4.4 alla 1.1.4.6, mentre la versione corretta indicata è la 1.1.5.0. La raccomandazione operativa è drastica ma chiara: rimuovere le installazioni vulnerabili e aggiornare immediatamente, per ridurre il rischio di esecuzione di codice da remoto tramite buffer overflow.
Le indagini hanno evidenziato un numero significativo di organizzazioni con tracce compatibili con l’attacco e numerosi siti legittimi usati come esca. La fase iniziale includeva anche spear phishing con email camuffate da curriculum, offerte di lavoro, materiali di investimento e sondaggi di settore, mentre sul versante watering hole venivano compromessi siti di notizie, sanità, istruzione e manifattura, spesso con difese deboli.
Dal punto di vista tecnico, la catena di exploit osservata ha utilizzato elementi apparentemente innocui come immagini PNG per scambiare chiavi, verificare la versione del software installato e consegnare codice di exploit specifico. La pagina malevola comunicava con il programma locale tramite WebSocket e attivava la vulnerabilità per eseguire shellcode. I payload venivano poi iniettati in processi Microsoft legittimi, installando backdoor come SIGNBT o COPPERHEDGE, capaci di eseguire comandi remoti, rubare file, fare ricognizione interna e distribuire ulteriori componenti.
Per il rilevamento, le indicazioni puntano su caccia comportamentale: caricamenti sospetti di DLL da eseguibili legittimi, dati cifrati nel registro, esecuzione in memoria, creazione anomala di servizi, injection in svchost o SyncHost e tunnel SSH inattesi. In alcuni casi è stata osservata persistenza tramite attività pianificate e script VBS, oltre a tecniche di movimento laterale con RDP e strumenti di furto credenziali.