TODDLESHARK Malware gekoppeld aan Kimsuky APT
Onlangs zijn beveiligingskwetsbaarheden in ConnectWise ScreenConnect uitgebuit door Noord-Koreaanse bedreigingsactoren om een nieuwe malware te introduceren die bekend staat als TODDLERSHARK. TODDLERHARK deelt overeenkomsten met bekende Kimsuky-malware, waaronder BabyShark en ReconShark.
Volgens beveiligingsonderzoekers hebben de bedreigingsactoren toegang gekregen tot het werkstation van het slachtoffer door gebruik te maken van de blootgestelde installatiewizard in de ScreenConnect-applicatie. Vervolgens gebruikten ze hun verworven "hands-on toetsenbord" -toegang om mshta.exe uit te voeren met een URL naar de op Visual Basic (VB) gebaseerde malware met behulp van cmd.exe.
De specifieke ConnectWise-fouten waarvan misbruik wordt gemaakt zijn CVE-2024-1708 en CVE-2024-1709, die vorige maand werden onthuld. Deze kwetsbaarheden zijn sindsdien zwaar uitgebuit door verschillende bedreigingsactoren om cryptocurrency-miners, ransomware, trojans voor externe toegang en stealer-malware te verspreiden.
TODDLERHARK breidt de Kimsuky-toolkit uit
Kimsuky, ook geïdentificeerd als APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (voorheen Thallium), KTA082, Nickel Kimball en Velvet Chollima, heeft zijn malwaretoolkit consequent uitgebreid, met GoBear en Troll Stealer als de nieuwste toevoegingen.
BabyShark, voor het eerst ontdekt eind 2018, wordt gelanceerd via een HTML-toepassingsbestand (HTA). Eenmaal geactiveerd, extraheert de VB-script-malware systeeminformatie naar een command-and-control (C2)-server, handhaaft de persistentie op het systeem en wacht op verdere instructies van de operator.
In mei 2023 werd een variant van BabyShark genaamd ReconShark waargenomen die zich richtte op specifieke individuen via spearphishing-e-mails. TODDLERSHARK wordt beschouwd als de nieuwste versie van dezelfde malware, die code- en gedragsovereenkomsten vertoont.
Naast het gebruik van een geplande taak voor persistentie, is TODDLERSHARK ontworpen om gevoelige informatie over gecompromitteerde hosts vast te leggen en te verzenden, waardoor het een effectief verkenningsinstrument is. De onderzoekers merken op dat TODDLERSHARK elementen van polymorf gedrag vertoont, zoals het veranderen van identiteitsstrings in code, het veranderen van codeposities via gegenereerde junkcode en het gebruik van uniek gegenereerde C2-URL's, waardoor detectie in bepaalde omgevingen mogelijk een uitdaging wordt.
