Η ScarCruft επιτίθεται στη Νότια Κορέα με RokRAT

Του Χρίστου Κρανάκη

Πρόσφατα, διεθνείς ερευνητές κυβερνοασφάλειας παρέδωσαν μια πιο αναλυτική αναφορά σχετικά το αναβαθμισμένο trojan απομακρυσμένης πρόσβασης RokRAT, το οποίο χρησιμοποιείται ευρέως από την κρατικά υποστηριζόμενη βορειοκορεατική ομάδα επιθέσεων, γνωστή ως ScarCruft.

«Το RokRAT συνιστά ένα εξελιγμένο trojan απομακρυσμένης πρόσβασης (RAT) με ιδιαίτερο ρόλο σε μια αλυσίδα επίθεσης, επιτρέποντας στους επιτιθέμενους να υποκλέψουν ευαίσθητες πληροφορίες, να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε δίκτυα και δυνητικά να διατηρήσουν τον μόνιμο έλεγχο αυτών», δήλωσαν οι ειδικοί της πλατφόρμας κυβερνοασφαλείας ThreatMon.

Η ομάδα κατασκοπείας στον κυβερνοχώρο, ScarCruft, που δραστηριοποιείται ήδη από το 2012, φέρεται από τους ειδικούς πως λειτουργεί υπό την καθοδήγηση της κυβέρνησης της Βόρειας Κορέας και εστιάζει αποκλειστικά στο νότιο ομόλογό της (Νότια Κορέα).

Η ομάδα πιστεύεται ότι αποτελεί «βραχίωνα» του Υπουργείου Κρατικής Ασφάλειας της Βόρειας Κορέας. Οι αλυσίδες επιθέσεων που έχει οργανώσει η ομάδα στηρίζονται σε μεγάλο βαθμό σε spear-phishising τακτικές. Αυτές περιλαμβάνουν την εκμετάλλευση τρωτών σημείων στο Hangul Word Processor (HWP) της Hancom, ένα λογισμικό που χρησιμοποιείται ευρέως από δημόσιους και ιδιωτικούς οργανισμούς στη Νότια Κορέα, για την παράδοση του κακόβουλου λογισμικού που φέρει την υπογραφή της και ονομάζεται RokRAT.

Πολλές από τις πρόσφατες επιθέσεις spear-phishing της ομάδας, όπως αποδεικνύεται από το AhnLab Security Emergency Response Center (ASEC) και την Check Point, χρησιμοποίησαν αρχεία LNK για να ενεργοποιήσουν την ανάπτυξη του κακόβουλου λογισμικού RokRAT.

Τεύχος 299