Vom nordkoreanischen Staat unterstützte Hacker verbreiten bösartige Versionen legitimer Anwendungen, die vom taiwanesischen Softwarehersteller CyberLink entwickelt wurden, um nachgelagerte Kunden anzusprechen. Nordkoreanische Hacker haben CyberLink gehackt und die modifizierten Installationsdateien des Unternehmens im Rahmen eines weit verbreiteten Angriffs auf die Lieferkette verbreitet, teilte das Threat-Intelligence-Team von Microsoft am Mittwoch mit.
Erfahren Sie mehr:
https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/
CyberLink ist ein in Taiwan ansässiges Softwareunternehmen, das hauptsächlich Multimedia-Software wie PowerDVD und Gesichtserkennungstechnologie mit künstlicher Intelligenz entwickelt. Laut der Website des Unternehmens verfügt CyberLink über mehr als 200 patentierte Technologien und hat weltweit mehr als 400 Millionen Anwendungen ausgeliefert.
Microsoft gab an, bereits am 20. Oktober 2023 verdächtige Aktivitäten im Zusammenhang mit einem modifizierten CyberLink-Installationsprogramm entdeckt zu haben, das das Unternehmen als „LambLoad“ verfolgte. Bisher hat Microsoft den Trojaner-Installer auf mehr als 100 Geräten in mehreren Ländern entdeckt, darunter Japan, Taiwan, Kanada und den Vereinigten Staaten.
Microsoft gab an, dass die Datei auf einer legitimen Update-Infrastruktur von CyberLink gehostet wurde und die Angreifer ein legitimes Code-Signing-Zertifikat von CyberLink verwendet haben, um die bösartige ausführbare Datei zu signieren. Das Threat Intelligence Team von Microsoft sagte: „Dieses Zertifikat wurde zur Microsoft-Liste unzulässiger Zertifikate hinzugefügt, um Kunden vor künftiger böswilliger Nutzung dieses Zertifikats zu schützen.“
Das Unternehmen stellte fest, dass die während dieser Kampagne beobachtete Nutzlast der zweiten Stufe mit der Infrastruktur interagierte, die zuvor von derselben Gruppe von Bedrohungsakteuren kompromittiert wurde.
Microsoft schrieb den Angriff mit „hohem Maß an Vertrauen“ einer von ihm verfolgten Gruppe namens DiamondSleet zu, einem nordkoreanischen Staatsakteur mit Verbindungen zur berüchtigten Hackergruppe Lazarus. Es wurde beobachtet, dass die Gruppe Organisationen aus den Bereichen Informationstechnologie, Verteidigung und Medien ins Visier nahm. Laut Microsoft geht es in erster Linie um Spionage, finanziellen Gewinn und die Störung von Unternehmensnetzwerken.
Microsoft stellte fest, dass DiamondSleet-Angreifer in der Regel Daten von kompromittierten Systemen stehlen, Software-Build-Umgebungen infiltrieren, sich nach unten vorarbeiten, um mehr Opfer auszunutzen, und versuchen, dauerhaften Zugriff auf die Umgebung des Opfers zu erlangen.
Microsoft sagte, es habe CyberLink über die Kompromittierung der Lieferkette informiert, aber nicht gesagt, ob es eine Antwort erhalten habe oder ob CyberLink auf der Grundlage der Erkenntnisse des Unternehmens Maßnahmen ergriffen habe. Das Unternehmen benachrichtigte außerdem Kunden von Microsoft Defender für Endpoint, die von dem Angriff betroffen waren.