TODDLESHARK Malware koblet til Kimsuky APT
Nylig har sikkerhetssårbarheter i ConnectWise ScreenConnect blitt utnyttet av nordkoreanske trusselaktører for å introdusere en ny skadelig programvare kjent som TODDLERSHARK. TODDLERSHARK deler likheter med kjent Kimsuky malware, inkludert BabyShark og ReconShark.
I følge sikkerhetsforskere fikk trusselaktørene tilgang til offerets arbeidsstasjon ved å dra nytte av den synlige oppsettsveiviseren i ScreenConnect-applikasjonen. Deretter brukte de sin oppnådde "hands-on keyboard"-tilgang til å kjøre mshta.exe med en URL til Visual Basic (VB)-basert malware ved å bruke cmd.exe.
De spesifikke ConnectWise-feilene som ble utnyttet er CVE-2024-1708 og CVE-2024-1709, som ble avslørt forrige måned. Disse sårbarhetene har siden blitt kraftig utnyttet av ulike trusselaktører for å distribuere kryptovalutagruvearbeidere, løsepengeprogramvare, fjerntilgangstrojanere og tyverisk skadevare.
TODDLERSHARK utvider Kimsuky Toolkit
Kimsuky, også identifisert som APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (tidligere Thallium), KTA082, Nickel Kimball og Velvet Chollima, har konsekvent utvidet sin malware-verktøykasse, med GoBear og Troll Stealer som de siste tilskuddene.
BabyShark, opprinnelig oppdaget i slutten av 2018, lanseres gjennom en HTML Application (HTA) fil. Når det er aktivert, trekker VB-skriptet malware ut systeminformasjon til en kommando-og-kontroll-server (C2), opprettholder utholdenhet på systemet og venter på ytterligere instruksjoner fra operatøren.
I mai 2023 ble en variant av BabyShark kalt ReconShark observert rettet mot bestemte individer gjennom spyd-phishing-e-poster. TODDLERSHARK regnes som den siste iterasjonen av samme skadevare, som viser kode- og atferdslikheter.
Bortsett fra å bruke en planlagt oppgave for utholdenhet, er TODDLERSHARK designet for å fange opp og overføre sensitiv informasjon om kompromitterte verter, noe som gjør det til et effektivt rekognoseringsverktøy. Forskerne bemerker at TODDLERSHARK viser elementer av polymorf atferd, som å endre identitetsstrenger i kode, endre kodeposisjoner gjennom generert søppelkode og bruke unikt genererte C2 URL-er, noe som potensielt gjør deteksjon utfordrende i visse miljøer.
