SHARPEXT ส่วนขยายเบราว์เซอร์
อาชญากรไซเบอร์ใช้ส่วนขยายเบราว์เซอร์ที่เสียหายชื่อ SHARPEXT เพื่อรวบรวมอีเมลของเหยื่อ การดำเนินการนี้มีเป้าหมายสูงต่อบุคคลที่น่าสนใจ ต่างจากส่วนขยายที่เสียหายอื่นๆ SHARPEXT ไม่ได้มุ่งหมายที่จะรับชื่อผู้ใช้และรหัสผ่าน แต่หากสร้างไว้อย่างสมบูรณ์บนอุปกรณ์ ภัยคุกคามจะสามารถตรวจสอบและกรองข้อมูลจากบัญชีเว็บเมลของเป้าหมายได้โดยตรงในขณะที่กำลังใช้งาน ส่วนขยายสามารถดึงข้อมูลจากทั้ง Gmail และ AOL
นักวิจัยที่เปิดเผยรายละเอียดเกี่ยวกับการรณรงค์โจมตีนั้นมาจากผู้คุกคามชาวเกาหลีเหนือที่พวกเขาติดตามในชื่อ SharpTongue ตามรายงานของพวกเขา กิจกรรมบางอย่างของกลุ่มทับซ้อนกับกลุ่มอาชญากรไซเบอร์ที่รู้จักกันในนาม Kimsuky จนถึงตอนนี้ ได้รับการยืนยันแล้วว่า SharpTongue มักกำหนดเป้าหมายไปยังองค์กรและบุคคลจากสหรัฐอเมริกา สหภาพยุโรป และเกาหลีใต้ โดยทั่วไปแล้ว เหยื่อที่ได้รับการคัดเลือกจะเกี่ยวข้องกับเรื่องที่สนใจในเชิงยุทธศาสตร์ของเกาหลีเหนือ เช่น กิจกรรมนิวเคลียร์ ระบบอาวุธ และอื่นๆ
บทวิเคราะห์ SHARPEXT
เชื่อกันว่ามัลแวร์ SHARPEXT ถูกเพิ่มเข้าไปในคลังอาวุธที่คุกคามของกลุ่มตั้งแต่ต้นเดือนกันยายน 2564 ภัยคุกคามเวอร์ชันเริ่มต้นสามารถแพร่เชื้อได้เฉพาะเบราว์เซอร์ Google Chrome เท่านั้น แต่ตัวอย่าง SHARPEXT 3.0 ล่าสุดสามารถเจาะตัวเองในเบราว์เซอร์ Edge และ Whale ได้ ดี. Whale เป็นเบราว์เซอร์ที่ใช้ Chromium ที่พัฒนาโดยบริษัท Naver ของเกาหลีใต้ และส่วนใหญ่ใช้ในเกาหลีใต้
ภัยคุกคามของ SHARPEXT ถูกนำไปใช้กับอุปกรณ์ที่ละเมิดแล้ว ก่อนเปิดใช้งาน ผู้คุกคามต้องกรองไฟล์ที่จำเป็นบางอย่างออกจากระบบที่ติดไวรัสด้วยตนเอง หลังจากนั้น SHARPEXT จะถูกติดตั้งด้วยตนเองผ่านสคริปต์ VBS แบบกำหนดเอง มัลแวร์ต้องการไฟล์ 'Preferences' และ 'Secure Preferences' ของเบราว์เซอร์ที่ถูกแทนที่ด้วยไฟล์ที่ดึงมาจากเซิร์ฟเวอร์ Command-and-Control (C2, C&C) ของการโจมตี หากสำเร็จ เบราว์เซอร์จะดำเนินการโหลดมัลแวร์โดยอัตโนมัติจากโฟลเดอร์ ' %APPDATA%\Roaming\AF '
วิวัฒนาการของภัยคุกคาม
SHARPEXT เวอร์ชันก่อนหน้ามีฟังก์ชันการทำงานหลักภายใน อย่างไรก็ตาม การทำซ้ำในภายหลังของภัยคุกคามได้เห็นรหัสที่จำเป็นส่วนใหญ่ถูกจัดเก็บไว้ในเซิร์ฟเวอร์ C2 การเปลี่ยนแปลงนี้ให้ประโยชน์หลักสองประการแก่ผู้คุกคาม - ตอนนี้พวกเขาสามารถอัปเดตรหัสส่วนขยายแบบไดนามิกโดยไม่ต้องส่งรหัสใหม่ไปยังอุปกรณ์ที่ถูกละเมิดก่อน ในขณะเดียวกันก็ลดรหัสที่ถูกบุกรุกภายในตัวภัยคุกคามเอง ด้วยเหตุนี้ การตรวจหา SHARPEXT ด้วยโซลูชันป้องกันมัลแวร์จึงยากขึ้นมาก การตรวจจับมีความท้าทายอยู่แล้ว เนื่องจากภัยคุกคามรวบรวมข้อมูลภายในเซสชันการเข้าสู่ระบบของผู้ใช้ โดยซ่อนการบุกรุกจากผู้ให้บริการอีเมลของเหยื่อ
