Специалисты команды ASERT компании Netscout раскрыли подробности фишинговой кампании, в рамках которой злоумышленники используют вредоносное расширение для Google Chrome в атаках на университеты в США, а также некоммерческие организации в Азии. Как полагают специалисты, организатором кампании является спонсируемая правительством киберпреступная группировка, судя по оставленным злоумышленникам следам, речь может идти о Северной Корее. Операция, получившая название «Stolen Pencil», активна по меньшей мере с мая 2018 года.

С помощью фишинговых писем злоумышленники заманивали жертв на сайты, имитирующие официальные ресурсы научных организаций, на которых размещался PDF-документ. Для его просмотра пользователю предлагалось загрузить из Chrome Web Store расширение под названием Auto Font Manager (в настоящее время уже удалено из интернет-каталога). С помощью программы злоумышленники могли похищать пароли и файлы cookie.

Как установили исследователи, для осуществления фишинговых атак использовалась инфраструктура, ранее замеченная в кампании по взлому сетей высших учебных заведений через RDP-подключение. Хотя специалисты не связывают операцию «Stolen Pencil» с какой-либо определенной группировкой, по мнению опрошенных изданием ZDNet экспертов, речь может идти о группе Kimsuky (она же Velvet Chollima), известной своими атаками на научные организации.

Судя по всему, злоумышленников пока интересует только кража учетных данных и возможность сохранения доступа к скомпрометированным сетям. Исследователи не нашли свидетельств хищения данных, но не исключают, что в будущем цели злоумышленников могут измениться.

Источник: securitylab.ru