VERTAALMALware: een stille Kimsuky-dreiging

Op het gebied van cyberbeveiliging is de opkomst van nieuwe dreigingen een voortdurende uitdaging. Een van die recente bedreigingen is de TRANSLATEXT-malware, een geavanceerd hulpmiddel dat wordt gebruikt door de beruchte Noord-Koreaanse hackgroep Kimsuky . Hier volgt een diepgaande blik op TRANSLATEXT, wat het beoogt te bereiken, hoe het gebruikers beïnvloedt en manieren om zich ertegen te beschermen.

Wat is TRANSLATEXT-malware?

TRANSLATEXT is een kwaadaardige Google Chrome-extensie die is ontworpen om gevoelige informatie van gerichte apparaten te infiltreren en te extraheren. Deze malware werd voor het eerst begin maart 2024 waargenomen en vermomt zich als een goedaardig hulpmiddel, waardoor het voor gebruikers moeilijk wordt om de ware aard ervan te ontdekken. De uitgebreide mogelijkheden omvatten de mogelijkheid om e-mailadressen, gebruikersnamen, wachtwoorden, cookies en browserscreenshots te verzamelen.

De campagne waarbij TRANSLATEXT wordt ingezet, heeft zich in de eerste plaats gericht op de Zuid-Koreaanse academische wereld, met name op degenen die betrokken zijn bij Noord-Koreaanse politieke zaken. Dit komt overeen met de historische modus operandi van Kimsuky, een Noord-Koreaanse cyberspionagegroep die minstens sinds 2012 actief is. Kimsuky's activiteiten, bekend om hun focus op het verzamelen van inlichtingen en financiële winsten, zijn vaak gericht tegen Zuid-Koreaanse entiteiten.

Wat wil TRANSLATEXT-malware?

Het primaire doel van de TRANSLATEXT-malware is het vergemakkelijken van het verzamelen van inlichtingen. Met infiltrerende apparaten kan Kimsuky toezicht houden en waardevolle informatie verzamelen over academisch en overheidspersoneel. Deze gestolen gegevens kunnen gevoelige persoonlijke informatie, inloggegevens en inzichten in politieke en militaire zaken bevatten, die zeer interessant zijn voor Noord-Koreaanse inlichtingenoperaties.

Kimsuky is in verband gebracht met een verscheidenheid aan cyberspionage en financieel gemotiveerde aanvallen. Ze maken deel uit van het Reconnaissance General Bureau (RGB), een Noord-Koreaanse militaire inlichtingendienst, en worden geassocieerd met beruchte groepen zoals de Lazarus-cluster. Hun recente activiteiten omvatten onder meer het misbruiken van een bekende kwetsbaarheid in Microsoft Office (CVE-2017-11882) om keyloggers en andere spionagetools te verspreiden.

Wat gebeurt er wanneer gebruikers TRANSLATEXT-malware tegenkomen?

Wanneer een apparaat is geïnfecteerd met TRANSLATEXT, werkt de malware geruisloos op de achtergrond en exfiltreert gegevens naar een externe server. De infectie begint doorgaans met een ZIP-archief met een Hangul-tekstverwerker-document en een uitvoerbaar bestand, dat gebruikers kunnen tegenkomen via spearphishing of social engineering-tactieken. Zodra het uitvoerbare bestand is gestart, haalt het een PowerShell-script op van een door de aanvaller bestuurde server. Dit script verzamelt informatie over het aangetaste systeem en uploadt deze naar een GitHub-repository, waar aanvullende kwaadaardige code wordt gedownload.

TRANSLATEXT doet zich voor als een Google Translate-extensie en bevat JavaScript om beveiligingsmaatregelen van services als Google, Kakao en Naver te omzeilen. Het maakt browserscreenshots, hevelt inloggegevens en cookies over en haalt opdrachten op van een Blogger Blogspot-URL om verdere kwaadaardige acties uit te voeren, zoals het maken van screenshots van nieuw geopende tabbladen en het verwijderen van browsercookies.

Apparaten beschermen tegen TRANSLATEXT-malware

Bescherming tegen TRANSLATEXT en soortgelijke malware vereist een veelzijdige aanpak:

1. Wees voorzichtig met e-mailbijlagen en links : Open geen bijlagen en klik niet op links van onbekende of verdachte bronnen. Spearphishing is een veelgebruikte methode voor het verspreiden van malware zoals TRANSLATEXT.
2. Gebruik sterke, unieke wachtwoorden : het gebruik van sterke, unieke wachtwoorden voor verschillende accounts kan de schade beperken als de inloggegevens in gevaar komen. Overweeg het gebruik van een wachtwoordbeheerder om complexe wachtwoorden bij te houden.
3. Houd software bijgewerkt : Werk uw besturingssysteem, browser en andere software regelmatig bij om kwetsbaarheden te verhelpen die door malware kunnen worden misbruikt.
4. Installeer gerenommeerde beveiligingssoftware : gebruik uitgebreide beveiligingssoftware om malware te detecteren en te blokkeren. Zorg ervoor dat het regelmatig wordt bijgewerkt om de nieuwste bedreigingen te herkennen.
5. Schakel Multi-Factor Authenticatie (MFA) in : MFA voegt een extra beveiligingslaag toe door een extra vorm van verificatie te vereisen, waardoor het moeilijker wordt om toegang te krijgen, zelfs als de aanvallers uw wachtwoord hebben.
6. Opleiden en trainen : bewustzijn is de sleutel. Informeer uzelf en anderen over de tactieken die door cyberaanvallers worden gebruikt, zoals phishing en social engineering, om het risico te verkleinen dat u het slachtoffer wordt van deze plannen.

Door op de hoogte te blijven en waakzaam te blijven, kunnen gebruikers zichzelf beschermen tegen de stille maar aanzienlijke dreiging die uitgaat van TRANSLATEXT-malware en andere cyberdreigingen die worden georkestreerd door groepen als Kimsuky.