Google заявляет, что Северная Корея нацелилась на уязвимость нулевого дня в Internet Explorer

8 декабря 2022 г.

Исследователи по кибербезопасности из группы анализа угроз Google (TAG) обнаружили уязвимость нулевого дня в Internet Explorer (IE) браузер используется известным северокорейским злоумышленником.

В в блоге с подробным описанием своих выводов группа заявила, что обнаружила группу APT37 (AKA Erebus), нацеленную на людей в Южная Корея с вооруженным файлом Microsoft Word.

Файл называется «221031 Seoul Yongsan Itaewon аварийно-спасательная ситуация (06:00).docx», что является отсылкой к недавней трагедии, произошедшей в Итхэвоне, Сеул, во время празднования Хэллоуина в этом году. где по меньшей мере 158 человек погибли, еще 200 получили ранения. Судя по всему, злоумышленники хотели воспользоваться вниманием общественности и СМИ к инциденту.

Злоупотребление старыми недостатками

Проанализировав распространяемый документ, TAG обнаружил, что он загружает удаленный шаблон RTF-файла в целевую конечную точку, которая затем захватывает удаленный HTML-контент. Microsoft, возможно, удалила Internet Explorer и заменила его Edge, но Office по-прежнему отображает HTML-контент с помощью IE, что является известным фактом, злоупотребляющим злоумышленниками по крайней мере с 2017 года, сообщает TAG.

Теперь, когда Office отображает HTML-контент в IE, злоумышленники могут злоупотреблять уязвимостью нулевого дня, которую они обнаружили в движке JScript IE.

Команда обнаружила уязвимость в jscript9.dll, механизме JavaScript Internet Explorer, который позволял злоумышленникам выполнять произвольный код при отображении веб-сайта, находящегося под их контролем.

Microsoft была уведомлена об этом 31 октября 2022 г., через три дня уязвимость получила обозначение CVE-2022-41128, а исправление было выпущено 8 ноября.

В то время как процесс продолжается только компрометирует устройство, TAG не обнаружил, с какой целью. По его словам, окончательной полезной нагрузки APT37 для этой кампании не обнаружено, но добавлено, что группа в прошлом доставляла вредоносное ПО, например Rokrat, Bluelight или Dolphin.

• Это лучшие брандмауэры

.

Через: Грань

---

Оригинал