APT-группа использует вредоносное расширение Chrome для атак на университеты
07.12.2018
Специалисты команды ASERT компании Netscout раскрыли подробности фишинговой кампании, в рамках которой злоумышленники используют вредоносное расширение для Google Chrome в атаках на университеты в США, а также некоммерческие организации в Азии. Как полагают специалисты, организатором кампании является спонсируемая правительством киберпреступная группировка, судя по оставленным злоумышленникам следам, речь может идти о Северной Корее. Операция, получившая название "Stolen Pencil", активна по меньшей мере с мая 2018 года.
С помощью фишинговых писем злоумышленники заманивали жертв на сайты, имитирующие официальные ресурсы научных организаций, на которых размещался PDF-документ. Для его просмотра пользователю предлагалось загрузить из Chrome Web Store расширение под названием Auto Font Manager (в настоящее время уже удалено из интернет-каталога). С помощью программы злоумышленники могли похищать пароли и файлы cookie.
Как установили исследователи, для осуществления фишинговых атак использовалась инфраструктура, ранее замеченная в кампании по взлому сетей высших учебных заведений через RDP-подключение. Хотя специалисты не связывают операцию "Stolen Pencil" с какой-либо определенной группировкой, по мнению опрошенных изданием ZDNet экспертов, речь может идти о группе Kimsuky (она же Velvet Chollima), известной своими атаками на научные организации.
Судя по всему, злоумышленников пока интересует только кража учетных данных и возможность сохранения доступа к скомпрометированным сетям. Исследователи не нашли свидетельств хищения данных, но не исключают, что в будущем цели злоумышленников могут измениться.
