TODDLESHARK Malware kopplad till Kimsuky APT
Nyligen har säkerhetssårbarheter i ConnectWise ScreenConnect utnyttjats av nordkoreanska hotaktörer för att introducera en ny skadlig programvara känd som TODDLERSHARK. TODDLERSHARK delar likheter med känd skadlig kod från Kimsuky, inklusive BabyShark och ReconShark.
Enligt säkerhetsforskare fick hotaktörerna tillgång till offrets arbetsstation genom att dra fördel av den exponerade installationsguiden i ScreenConnect-applikationen. Därefter använde de sin "hands-on keyboard"-åtkomst för att köra mshta.exe med en URL till Visual Basic (VB)-baserad skadlig programvara med cmd.exe.
De specifika ConnectWise-bristerna som utnyttjas är CVE-2024-1708 och CVE-2024-1709, som avslöjades förra månaden. Dessa sårbarheter har sedan dess exploateras hårt av olika hotaktörer för att distribuera gruvarbetare för kryptovaluta, ransomware, trojaner med fjärråtkomst och skadlig programvara som stjäl.
TODDLERSHARK utökar Kimsuky Toolkit
Kimsuky, även identifierad som APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (tidigare Thallium), KTA082, Nickel Kimball och Velvet Chollima, har konsekvent utökat sin malware toolkit, med GoBear och Troll Stealer som de senaste tilläggen.
BabyShark, som ursprungligen upptäcktes i slutet av 2018, lanseras genom en HTML Application (HTA) fil. När VB-skriptet har aktiverats extraherar skadlig programvara systeminformation till en kommando-och-kontroll-server (C2), upprätthåller beständighet på systemet och inväntar ytterligare instruktioner från operatören.
I maj 2023 observerades en variant av BabyShark som heter ReconShark riktade sig mot specifika individer genom e-post med spjutfiske. TODDLERSHARK anses vara den senaste iterationen av samma skadliga program, som uppvisar kod- och beteendelikheter.
Förutom att använda en schemalagd uppgift för uthållighet, är TODDLERSHARK designad för att fånga och överföra känslig information om komprometterade värdar, vilket gör det till ett effektivt spaningsverktyg. Forskarna noterar att TODDLERSHARK visar element av polymorft beteende, som att ändra identitetssträngar i kod, ändra kodpositioner genom genererad skräpkod och använda unikt genererade C2-URL:er, vilket potentiellt gör upptäckten utmanande i vissa miljöer.
