Ataque à cadeia de suprimentos atinge a CyberLink!

Publicado em 24 de novembro de 2023 às 13h10. por cabeçalho do artigo

O Microsoft Threat Intelligence relata a descoberta de um ataque à cadeia de suprimentos. Envolve a distribuição de uma versão maliciosa de um aplicativo desenvolvido pela editora de software multimídia CyberLink.

Um instalador legítimo do CyberLink foi modificado com o objetivo de incluir código que baixa e descriptografa uma carga útil de segundo nível. Hospedado em uma infraestrutura de atualização de propriedade da CyberLink, o arquivo malicioso foi assinado usando um certificado válido emitido pelo editor.

A identificação do malware foi confirmada como LambLoad. Parece que a execução da sua carga prejudicial só pode ser desencadeada quando critérios específicos forem satisfeitos. Esta pode ser uma medida estratégica implementada pelos criadores do malware para evitar a detecção, pois parece que os sistemas protegidos por soluções de segurança como as fornecidas pela FireEye, CrowdStrike e Tanium estão isentos de ataques.

As consequências ainda não estão claras

Após a implementação, o agente da ameaça procura estabelecer comunicação com três alvos designados com a finalidade de recuperar uma carga maliciosa oculta, disfarçada como uma extensão de arquivo de imagem PNG (.png), com a intenção de iniciar uma conexão com uma de suas infraestruturas de comando e controle..

Os especialistas em segurança cibernética da Microsoft chamam a atenção para sites que eram inicialmente legítimos, mas que foram explorados por agentes maliciosos. Como resultado, esses sites podem agora possuir a capacidade de exercer domínio total sobre quaisquer dispositivos infectados por malware.

Desde pelo menos 20 de outubro de 2023, o relatório Microsoft Threat Intelligence menciona a detecção de atividades maliciosas em mais de uma centena de dispositivos de vários países ao redor do mundo, incluindo Canadá, Estados Unidos e Japão, bem como Taiwan.

Com o apoio da Coreia do Norte?

Ao receber informações sobre uma recente violação de segurança cibernética, a Microsoft alertou prontamente todas as partes afetadas, ao mesmo tempo que adicionou o certificado digital CyberLink utilizado na criação do conteúdo malicioso à sua lista de certificados bloqueados.

Desde então, o GitHub eliminou uma carga útil específica chamada de “segundo nível” de sua plataforma, como parte de várias medidas implementadas em resposta ao incidente.

Uma postagem no blog publica indicadores de comprometimento e detalha a campanha de ataque. Com um chamado alto nível de confiança, é atribuído a um grupo de ciberespionagem norte-coreano chamado Diamond Sleet. No passado, poderia ser identificado por outros nomes como Zinco e principalmente Lazarus.

Jornalista deste site especializado em novas tecnologias

*️⃣ Link da fonte: