Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 30 Agosto 2024 11:35
I ricercatori hanno scoperto che il gruppo sudcoreano APT-C-60 sta utilizzando una vulnerabilità critica legata all’esecuzione di codice in modalità remota in Kingsoft WPS Office per Windows per implementare una backdoor SpyGlace.
Il pacchetto WPS Office (ex Kingsoft Office) è apparso nel 1989 ed è stato creato dall’azienda cinese Kingsoft. Oggi viene utilizzato mensilmente da circa 500 milioni di persone in tutto il mondo.
ESET segnala che la vulnerabilità zero-day, identificata come CVE-2024-7262, è stata utilizzata negli attacchi almeno dalla fine di febbraio 2024 e colpisce le versioni da 12.2.0.13110 (rilasciata ad agosto 2023) alla 12.1.0.16412 (rilasciata a marzo 2024).
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Kingsoft ha risolto il problema nel marzo di quest’anno, ma non ha informato i clienti che il bug era già stato attivamente sfruttato dagli hacker. Ciò ha spinto i ricercatori ESET a pubblicare un rapporto dettagliato su ciò che davvero è accaduto.
Va notato che oltre al CVE-2024-7262, l’indagine di ESET ha rivelato un altro grave difetto: CVE-2024-7263, che gli sviluppatori di Kingsoft hanno corretto alla fine di maggio 2024 nella versione 12.2.0.17119.
La radice del problema del CVE-2024-7262 è il modo in cui il programma funziona con gestori di protocollo personalizzati, in particolare ksoqing://, che consente di avviare applicazioni esterne tramite URL appositamente predisposti nei documenti.
A causa della convalida e della gestione errata di tali URL, la vulnerabilità consente agli aggressori di creare collegamenti ipertestuali dannosi che alla fine portano all’esecuzione di codice arbitrario.
Secondo gli esperti, per sfruttare il bug, i partecipanti all’APT-C-60 hanno creato fogli di calcolo (file MHTML) in cui hanno inserito collegamenti dannosi nascosti sotto un’immagine esca per indurre le vittime a cliccarvi sopra, innescando l’exploit.
Pertanto, i parametri URL contengono un comando codificato base64 per eseguire un plug-in specifico (promecefpluginhost.exe), che tenta di caricare una DLL dannosa (ksojscore.dll). Questa DLL è un componente del loader APT-C-60, progettato per ottenere il payload finale (TaskControler.dll) dal server degli aggressori, una backdoor SpyGlace personalizzata.
SpyGlace è stato precedentemente studiato in dettaglio da Threatbook quando APT-C-60 lo ha utilizzato negli attacchi contro organizzazioni legate alla formazione e al commercio.
Come accennato in precedenza, durante lo studio degli attacchi APT-C-60, i ricercatori ESET hanno scoperto un’altra vulnerabilità, il CVE-2024-7263. Consente l’esecuzione di codice arbitrario in WPS Office ed è causato da una correzione errata del problema CVE-2024-7262.
In particolare, il tentativo iniziale di Kingsoft di risolvere il bug ha comportato l’aggiunta della convalida per alcuni parametri. Tuttavia, alcuni di essi, come CefPluginPathU8, non erano ancora adeguatamente protetti, consentendo agli aggressori di fornire percorsi a DLL dannosi tramite promecefpluginhost.exe.
ESET spiega che la vulnerabilità potrebbe essere sfruttata localmente o tramite una risorsa di rete che ospitava una DLL dannosa. Allo stesso tempo, i ricercatori sottolineano di non aver trovato alcun caso in cui APT-C-60 o altri gruppi abbiano sfruttato questo bug.
Gli esperti consigliano agli utenti di WPS Office di eseguire l’aggiornamento alla versione più recente il prima possibile o di aggiornare il software almeno alla 12.2.0.17119 per eliminare entrambe le vulnerabilità di esecuzione del codice.
RedazioneNegli ultimi giorni, NS Power, una delle principali aziende elettriche canadesi, ha confermato di essere stata vittima di un attacco informatico e ha pubblicato degli update all’interno della H...
1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione. Nel 2025, l’Italia continua a pian...
Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
