Chiến dịch watering-hole khai thác AnySign4PC để cài backdoor không cần nhắc người dùng
"South Korean authorities and security firms reported a state-sponsored watering-hole campaign that compromised trusted websites to exploit vulnerable AnySign4PC installations and deliver SIGNBT/COPPERHEDGE backdoors without user prompts. The affected AnySign4PC versions were 1.1.4.4 through 1.1.4.6, with 1.1.5.0 listed as the fixed release; KISA recommended deleting vulnerable installations, and no CVE was identified in the advisory."
Tác động đáng kể do khai thác có thể xảy ra chỉ bằng việc truy cập trang bị xâm nhập, dẫn tới remote code execution và cài backdoor. Điểm then chốt: AnySign4PC 1.1.4.4–1.1.4.6; không cần prompt; khả năng tiêm mã vào tiến trình hợp lệ.
Nguy cơ gián đoạn và thiệt hại vận hành tăng do có thể dẫn tới chiếm quyền, đánh cắp dữ liệu và mở đường cho mã độc khác (bao gồm chuỗi liên quan Gunra ransomware). Điểm then chốt: ảnh hưởng tới tổ chức có website bị xâm nhập; chi phí điều tra do cần rà soát hành vi; rủi ro lan rộng qua SSH tunnel và công cụ hậu khai thác.
Giới chức Hàn Quốc và nhiều hãng an ninh đã công bố một chiến dịch watering-hole có tính chất nhà nước, nhắm vào các website nội địa đáng tin cậy để khai thác phần mềm bảo mật tài chính cài sẵn trên máy nạn nhân. Khi người dùng truy cập trang bị xâm nhập, hệ thống có thể bị lây mà không cần prompt hay thao tác tải xuống từ phía người dùng.
Theo thông tin từ KISA, các phiên bản AnySign4PC 1.1.4.4 đến 1.1.4.6 bị ảnh hưởng; bản khắc phục được nêu là 1.1.5.0. Cơ quan này khuyến nghị xóa các cài đặt dễ tổn thương. Các báo cáo cũng mô tả chuỗi khai thác dựa trên việc kiểm tra phiên bản, trao đổi khóa qua hình ảnh PNG, giao tiếp với chương trình bảo mật cục bộ qua WebSocket, sau đó kích hoạt buffer overflow để thực thi mã.
Tải về sau xâm nhập bao gồm SIGNBT và COPPERHEDGE, hỗ trợ thực thi lệnh từ xa, đánh cắp tệp và trinh sát nội bộ. Một số phân tích ghi nhận trùng lặp kỹ thuật với chuỗi tấn công liên quan Gunra ransomware (tiêm vào SyncHost.exe, dùng tên tệp net.tmp/inet.tmp và cùng dấu vân tay SSH), nhưng chưa đủ dữ liệu để kết luận cùng một nhóm vận hành.
Khuyến nghị: cập nhật lên 1.1.5.0, rà soát DLL side-loading, thực thi in-memory PE, tạo dịch vụ bất thường, tiêm vào svchost.exe/SyncHost.exe, và các kết nối SSH reverse tunnel; đồng thời lưu giữ dấu vết trước khi cô lập hệ thống.