Internet Explorer 0-day exploited by North Korean actor APT37 · 2022-10
Internet Explorer 0-day exploited by North Korean actor APT37
https://blog.google/threat-analysis-group/internet-explorer-0-day-exploited-by-north-korean-actor-apt37/
12th December – Threat Intelligence Report · 2022-12-12
An Internet Explorer zero-day vulnerability (tracked as CVE-2022-41128) was actively exploited by North Korean state-sponsored group APT 37 (ScarCruft). The exploit was embedded in a malicious docx, referencing a recent tragic incident in Itaewon, South Korea, where 158 people were killed in a crowd crush during Halloween celebrations.
Organizations in South Korea · 07/12/2022
Researchers from Google's Threat Analysis Group (TAG) reveal that a group of North Korean hackers tracked as APT37 exploited a previously unknown Internet Explorer vulnerability to infect South Korean targets with malware. [Date Occurred: Since at least 31/10/2022; Date Discovered: 31/10/2022]
APT37 Internet Explorer zero-day CVE-2022-41128 · 2022년 하반기
CVE-2022- 41128로 알려진 취약점은 현재 패치가 공개됐음에도 불구하고, 북한의 APT37이라는 그룹으로 추정되는 공격자에 의해 해당 취약점을 이용하는 공격 코드가 제작되어 배포되고 있어, 실제 피해가 발생할 수 있는 심각한 취약점으로 매우 높은 관심과 주의가 요구된다. APT37은? APT37은 그룹 123(Group 123), 잉키스퀴드(InkySquid), 리퍼(Reaper), 스카크러프트(Scarcruft)라는 코드네임으로도 불리는 북한의 사이버범죄 그룹으로, 최소 2012년부터 북한 정부를 위해 공격을 실시하는 조직으로 알려져 있다. 워드프로세스나 Adobe Flash의 제로데이(Zero-day) 취약점을 이용한 공격을 행하는 등 주로 스피어 피싱이나 소셜 엔지니어링을 통한 공격을 주로 하는 것으로 알려져 있다. [KISA report, page 39]
Word file about the Itaewon crowd crush used to deliver the IE zero-day (APT37 suspected) · 2022년 하반기
구글의 위협 분석 그룹(TAG: Threat Analysis Group)은 이태원 참사와 관련한 문서를 이용하여 공격자(APT37로 추정)가 사용자의 관심을 끌어 공격을 시도하고 있다는 것을 확인했다. 공격에 이용된 파일은 “221031 Seoul Yongsan Itaewon accident response situation (06:00).docx”라는 이름으로 제작된 워드 파일로, 사고개요와 인명 피해, 조치 상황 등 이태원에서 일어난 비극적인 참사에 대해 자세히 적혀 있어 국가의 사회적 관심사를 미끼로 이용한 위장한 악성파일로 바이러스토탈(Virustotal.com)에도 여러 건이 등록되고 검사됐다. 39 취약점 동향 Trend [KISA report, page 40]
IE JScript9 zero-day (CVE-2022-41128) used with a fake Itaewon government report, APT37 · 2023년 하반기
이태원 참사가 국 민적 관심을 끌며 모두가 슬픔에 잠긴 때 공격자는 악성 문서를 유포하였으며, 구글 Threat Analysis Group(TAG)의 분석 보고서[1]에 따르면 해당 공격은 북한 해킹 그룹인 APT37의 공격으로 추정하고 있다. 피싱 공격을 통해 악성 문서는 아래의 절차에 따라 악성코드를 유포하였다. 1. (1단계) 악성 문서(워드 파일) 열람 시, 첫 번째 공격자 서버로 접근하게 되며 악성 RTF 파일 다운로드 2. (2단계) 악성 RTF 파일 내 조작된 Url로 인해 두 번째 공격자 서버로 접근하여 HTML 파일 다운로드 3. (3단계) 워드에서 HTML 실행 시, IE JScript9 엔진 Type Confusion 취약점으로 인해 악성코드 실행 정부 보고서 위장 MS워드 제로데이 취약점 상세 분석3-2 Part. [KISA report, page 107]
APT37 Internet Explorer 0-day CVE-2022-41128 in malicious documents · 2022-12-07T16:00:00+00:00 (datePublished)
This blog will describe a 0-day vulnerability, discovered by TAG in late October 2022, embedded in malicious documents and used to target users in South Korea. We attribute this activity to a group of North Korean government-backed actors known as APT37.