Lo 0-day di Google Chrome viene sfruttato dagli Hacker Nord-Coreani per Svuotare i Wallett di Criptovaluta

Gli hacker nordcoreani stanno sfruttando una vulnerabilità zero-day in Google Chrome per ottenere il controllo dei sistemi e prendere il controllo delle risorse crittografiche delle vittime.

Microsoft ha confermato che il gruppo Citrine Sleet (precedentemente DEV-0139) ha utilizzato il CVE-2024-7971 zero-day per iniettare il rootkit FudModule dopo aver ottenuto i privilegi di SYSTEM utilizzando un exploit nel kernel di Windows.

L’obiettivo principale degli attacchi è il settore delle criptovalute, dove gli hacker cercano guadagni finanziari. Il gruppo Citrine Sleet è noto da tempo per i suoi attacchi contro le istituzioni finanziarie, ma soprattutto contro le organizzazioni che operano nel settore delle criptovalute e i loro dipendenti. In precedenza, gli hacker erano associati all’intelligence nordcoreana.

Citrine Sleet (AppleJeus, Labyrinth Chollima, UNC4736) ha ripetutamente utilizzato siti Web falsi mascherati da piattaforme di scambio di criptovalute legittime. Gli hacker hanno infettato i sistemi delle vittime attraverso false domande di lavoro o tramite falsi portafogli e applicazioni commerciali. Ad esempio, nel marzo 2023, UNC4736 ha compromesso la catena di fornitura del software di videoconferenza 3CX, provocando l’hacking del software X_TRADER, progettato per automatizzare il commercio di azioni.

Anche il Google Threat Analysis Group (TAG) ha confermato il collegamento del gruppo AppleJeus con la compromissione del sito web di Trading Technologies. Il governo degli Stati Uniti mette in guardia da anni sui rischi posti dagli hacker nordcoreani che prendono di mira le società di criptovaluta e i loro dipendenti utilizzando il malware AppleJeus.

Una settimana fa, Google ha corretto la vulnerabilità zero-day CVE-2024-7971, nel motore JavaScript V8 utilizzato in Chrome. Il bug consentiva agli aggressori di eseguire codice remoto nella sandbox del browser Chromium, dopodiché gli aggressori potevano utilizzare il browser per scaricare l’exploit CVE-2024-38106 nel kernel di Windows. L’attacco consente agli hacker di ottenere i diritti di SYSTEM e di iniettare in memoria il rootkit FudModule, che viene utilizzato per manipolare gli oggetti del kernel e aggirare i meccanismi di sicurezza.

Dalla sua scoperta nell’ottobre 2022, il rootkit FudModule è stato utilizzato anche da un altro gruppo di hacker nordcoreano, Diamond Sleet, che utilizza strumenti di attacco e infrastrutture simili. Nell’agosto 2024, Microsoft ha rilasciato un aggiornamento di sicurezza che risolve la vulnerabilità CVE-2024-38193 nel driver AFD.sys, utilizzato anche negli attacchi Diamond Sleet .

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.