Hackers de Corea del Norte utilizan extensión de navegador malicioso para espiar cuentas de correo electrónico
Se tiene conocimiento de un actor de amenazas que estuvo operando en conjunto con Corea del Norte, el cual estuvo implementando una extensión maliciosa en aquellos navegadores que están basados en Chromium, tiene la capacidad de robar información de correos electrónicos.
Volexity, firma de seguridad cibernética, le atribuyó dicho malware a un grupo denominado “SharpTongue”, que se piensa que comparte superposiciones con un colectivo adversario, el que es conocido por el nombre de “Kimsuky”.
SharpTongue tiene la fama de señalar a las personas que trabajan en alguna organización de los EE. UU, Europa y Corea del Norte, haciendo referencia a aquellas personas que “trabajan en temas relacionados con Corea del Norte, cuestiones nucleares, sistemas de armas y otros asuntos de interés estratégico para Corea del Norte”, dijeron los investigadores Paul Rascagneres y Tomás Lancaster.
Hacer uso de “Kimsuky”, utilizando las extensiones no autorizadas no es algo nuevo, de hecho, viene del año 2018, donde se vio un complemento de Chrome que formó parte de una campaña, denominada “lapiz robado”, para robar cookies y contraseñas del navegador de las víctimas.
Lo ultimo es algo denominado Sharpext, que tiene el objetivo de robar datos del correo electrónico. “El malware inspecciona y extrae datos directamente de la cuenta de correo web de la víctima mientras la navega”, señalaron los investigadores.
Google Chrome, Microsoft Edge y los navegadores Whale de Naver son los navegadores objetivos del malware de robo de correo diseñado para recopilar información de las sesiones de Gmail y AOL.
Para realizar la instalación de este complemento se hace mediante el reemplazo de Preferencias y Preferencias seguras del navegador con los recibidos de un servidor remoto luego de una violación exitosa de un sistema Windows de destino.
Para esto se realiza habilitando el panel DevTools dentro de la pestaña activa para robar correos electrónicos y archivos adjuntos del buzón de correo de un usuario, paralelamente, se están realizando acciones con el objetivo de ocultar cualquier mensaje de advertencia que pueda aparecer sobre la ejecución de extensiones de modo desarrollador.
Volexity señaló que esta campaña fue “exitosa” , citando al capacidad que tiene el malware para “robar miles de correos electrónicos de múltiples víctimas a través de la implementación del malware”.
Los investigadores señalan: “Esta es la primera vez que Volexity observa extensiones de navegador maliciosas utilizadas como parte de la fase posterior a la explotación de un compromiso. Al robar datos de correo electrónico en el contexto de la sesión de un usuario que ya ha iniciado sesión, el ataque se oculta para el proveedor de correo electrónico, lo que dificulta la detección.
Todos estos hallazgos se conectaron al actor de Kimsuky después de varios meses, luego de que el mismo fuera conectado a intrusiones contra instituciones políticas ubicadas en Rusia y Corea del Sur para entregar una versión actualizada de un troyano de acceso remoto conocido como Konni.
Securonix, la firma de seguridad cibernética, reveló un continuo conjunto de ataques que explotan objetivos de alto valor, incluidos la República Checa, Polonia y otros países, como parte de una campaña con el nombre en código STIFF # BIZON para distribuir el malware Konni.
Si bien las tácticas y herramientas utilizadas en las intrusiones apuntan a un grupo de piratería de Corea del Norte llamado APT37, la evidencia recopilada relacionada con la infraestructura de ataque sugiere la participación del actor APT28 (también conocido como Fancy Bear o Sofacy) alineado con Rusia.
Los investigadores mencionan: “Al final, lo que hace que este caso en particular sea interesante es el uso del malware Konni junto con similitudes comerciales con APT28”, también agregaron que todo esto puede tratarse de un grupo que esta haciéndose pasar por otro con tal de evadir la detección.
