Google: Nordkoreanische Hacker nutzten Zero Day in Chrome aus

Über Jobanzeigen für Disney oder Oracle sollte Opfern ein Chrome-Exploit untergeschoben werden. Google beschreibt die Angriffe aus Nordkorea.

Artikel veröffentlicht am 25. März 2022, 13:29 Uhr, Sebastian Grüner

Google deckt erneut eine Hacker-Kampagne Nordkoreas auf. (Bild: REUTERS/Denis Balibouse/File Photo)

In einem ausführlichen Blogpost beschreibt die Threat Analysis Group (TAG) von Google, wie die Gruppe, die sich um sicherheitskritische Angriffe kümmert, einen Angriff aus Nordkorea aufgedeckt und abgewehrt hat. Konkret handelt es sich den Angaben zufolge um zwei unterschiedliche Angriffskampagnen, die beide durch Gruppen mit staatlicher Unterstützung aus Nordkorea durchgeführt worden sein sollen.

Dass die zugrunde liegende Sicherheitslücke im Chrome-Browser ausgenutzt wird, entdeckte das Google-Team demnach am 10. Februar. Die Forscher haben jedoch Hinweise darauf, dass der Exploit bereits seit dem 4. Januar eingesetzt wurde. Ziel waren demnach "in den USA ansässige Organisationen aus den Branchen Nachrichtenmedien, IT, Kryptowährung und Fintech". Das Browser-Team von Google hat die Lücke bereits am 14. Februar 2022 durch ein Update geschlossen.

Eine der Angriffskampagnen habe direkte Gemeinsamkeiten in Bezug auf die genutzte Infrastruktur mit einer ähnliche Kampagne aus Nordkorea aus dem vergangenen Jahr, berichten die Forscher. Zu den Angriffen aus diesem Jahr schreibt Google außerdem: "Wir vermuten, dass diese Gruppen für dieselbe Organisation mit einer gemeinsamen Lieferkette arbeiten und daher dasselbe Exploit-Kit verwenden, aber jeweils mit unterschiedlichen Aufgabenstellungen und Techniken arbeiten. Es ist möglich, dass andere von der nordkoreanischen Regierung unterstützte Angreifer Zugang zu demselben Exploit-Kit haben."

Angriff mit gefälschten E-Mails

In einer der Kampagne wurden den Zielpersonen E-Mails gesendet, die vorgaben, von den Rekrutierungsabteilungen großer Unternehmen zu stammen. Dazu gehörten Disney, Google und Oracle. In der E-Mail waren Links auf nachgebaute Webseiten enthalten, über die der Exploit wiederum in einem versteckten iFrame verteilt wurde. In der anderen Kampagne wurden lediglich Webseiten nachgebaut oder direkt gehackt, um den Exploit zu verteilen.

Interessant ist für Google vor allem das Vorgehen der Angreifer. So seien die iFrames nur zu bestimmten Zeiten ausgespielt worden und die E-Mails hätten Links mit einzigartigen IDs gehabt. Das spreche für eine sehr gezielte Kampagne. Darüber hinaus habe das Team zwar selbst nur einen Chrome-Exploit gefunden, aber auch Hinweise auf Safari und Firefox als mögliche Ziele.