TODDLESHARK-Malware im Zusammenhang mit Kimsuky APT
Kürzlich wurden Sicherheitslücken in ConnectWise ScreenConnect von nordkoreanischen Bedrohungsakteuren ausgenutzt, um eine neue Malware namens TODDLERSHARK einzuschleusen. TODDLERSHARK weist Ähnlichkeiten mit bekannter Kimsuky-Malware auf, darunter BabyShark und ReconShark.
Laut Sicherheitsforschern verschafften sich die Bedrohungsakteure Zugang zum Arbeitsplatz des Opfers, indem sie den offengelegten Einrichtungsassistenten in der ScreenConnect-Anwendung ausnutzten. Anschließend nutzten sie ihren „praktischen Tastatur“-Zugriff, um mshta.exe mit einer URL zur Visual Basic (VB)-basierten Malware mithilfe von cmd.exe auszuführen.
Die konkret ausgenutzten ConnectWise-Schwachstellen sind CVE-2024-1708 und CVE-2024-1709, die letzten Monat aufgedeckt wurden. Diese Schwachstellen wurden seitdem von verschiedenen Bedrohungsakteuren stark ausgenutzt, um Kryptowährungs-Miner, Ransomware, Remote-Access-Trojaner und Stealer-Malware zu verbreiten.
TODDLERSHARK erweitert Kimsuky Toolkit
Kimsuky, auch bekannt als APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (früher Thallium), KTA082, Nickel Kimball und Velvet Chollima, hat sein Malware-Toolkit kontinuierlich erweitert, wobei GoBear und Troll Stealer die neuesten Ergänzungen sind.
BabyShark wurde erstmals Ende 2018 entdeckt und wird über eine HTML-Anwendungsdatei (HTA) gestartet. Nach der Aktivierung extrahiert die VB-Skript-Malware Systeminformationen auf einen Command-and-Control-Server (C2), behält die Persistenz auf dem System bei und wartet auf weitere Anweisungen des Bedieners.
Im Mai 2023 wurde beobachtet, dass eine Variante von BabyShark namens ReconShark bestimmte Personen durch Spear-Phishing-E-Mails ansprach. TODDLERSHARK gilt als die neueste Version derselben Malware und weist Ähnlichkeiten im Code und im Verhalten auf.
TODDLERSHARK nutzt nicht nur eine geplante Aufgabe zur Persistenz, sondern ist auch darauf ausgelegt, vertrauliche Informationen über kompromittierte Hosts zu erfassen und zu übertragen, was es zu einem effektiven Aufklärungstool macht. Die Forscher stellen fest, dass TODDLERSHARK Elemente polymorphen Verhaltens aufweist, wie z. B. das Ändern von Identitätszeichenfolgen im Code, das Ändern von Codepositionen durch generierten Junk-Code und die Verwendung eindeutig generierter C2-URLs, was die Erkennung in bestimmten Umgebungen möglicherweise schwierig macht.
