北朝鮮のAPTがサプライチェーン攻撃でIEゼロデイを悪用

脅威インテリジェンス企業のAhnLabと韓国の国家サイバーセキュリティセンター(NCSC)によると、北朝鮮の攻撃者がサプライチェーン攻撃で最近のInternet Explorerのゼロデイ脆弱性を悪用したという。

CVE-2024-38178 として追跡されるこのセキュリティ欠陥は、リモートの攻撃者が Internet Explorer モードで Edge を使用するターゲット システム上で任意のコードを実行できるようにするスクリプト エンジンのメモリ破損の問題として説明されています。

ゼロデイ用のパッチ Microsoft が 8 月 13 日にリリースした 注目した バグの悪用に成功するには、ユーザーが細工された URL をクリックする必要があるということです。

ゼロデイを発見し報告した AhnLab と NCSC の新しいレポートによると、APT37 (RedEyes、Reaper、ScarCruft、Group123、TA-RedAnt としても知られる) として追跡されている北朝鮮の脅威アクターが、ゼロデイのバグを悪用しました。広告代理店を侵害した後のクリック攻撃。

「この作戦は IE のゼロデイ脆弱性を悪用し、さまざまなフリー ソフトウェアと一緒にインストールされる特定の Toast 広告プログラムを利用しました。」 アンラボが説明する。

IE ベースの WebView を使用して広告を表示する Web コンテンツをレンダリングするプログラムはすべて CVE-2024-38178 に対して脆弱であるため、APT37 は Toast 広告プログラムの背後にあるオンライン広告代理店を侵害し、Toast 広告プログラムを初期アクセス ベクトルとして使用します。

Microsoftは2022年にIEのサポートを終了したが、脆弱なIEブラウザエンジン（jscript9.dll）は依然として広告プログラムに存在しており、他の多くのアプリケーションでも依然として見つかる可能性があるとAhnLabは警告している。

「TA-RedAnt はまず、広告コンテンツをダウンロードするために、広告プログラム用の韓国のオンライン広告代理店のサーバーを攻撃しました。次に、サーバーの広告コンテンツ スクリプトに脆弱性コードを挿入しました。この脆弱性は、広告プログラムが広告コンテンツをダウンロードして表示するときに悪用されます。その結果、ユーザーの介入なしにゼロクリック攻撃が発生しました」と脅威インテリジェンス会社は説明しています。

北朝鮮の APT はセキュリティ上の欠陥を悪用し、被害者を騙して Toast 広告プログラムがインストールされているシステムにマルウェアをダウンロードさせ、感染したマシンを乗っ取る可能性がありました。

アンラボは韓国語で技術レポートを発行しました (PDF) 観察されたアクティビティの詳細を示します。これには、組織やユーザーが潜在的な侵害を探すのに役立つ侵害の兆候 (IoC) も含まれています。

10年以上にわたって活動しており、 IE ゼロデイの悪用 APT37 は、韓国の個人、脱北者、活動家、ジャーナリスト、政策立案者を攻撃の対象としています。

関連している： クラウドのクラッキング: 認証情報ベースの攻撃の永続的な脅威

関連している： 悪用されたゼロデイの増加は脆弱性へのアクセスの拡大を示している

関連している： 韓国、サイバーギャングリーダー2人の国際刑事警察への通知を求める

関連している： 司法省: 北朝鮮のハッカーが仮想通貨を盗んだ