Google công bố chi tiết lỗ hổng zero-day đang bị khai thác bởi tin tặc Triều Tiên trên trình duyệt IE

[WhiteHat News #ID:2112]

Các nhà nghiên cứu của Google vừa chia sẻ thông tin chi tiết về lỗ hổng (CVE-2022-41128, điểm CVSS 8,8) nằm trong công cụ JavaScript ‘JScript9’ của trình duyệt Internet Explorer. Lỗ hổng có thể bị khai thác bởi tin tặc từ xa để thực thi mã tùy ý trên hệ thống mục tiêu.

​

Một tuần sau khi được thông báo về lỗ hổng, Microsoft đã vá CVE-2022-41128 trong Patch Tuesday tháng 11, cảnh báo lỗ hổng đang bị khai thác.

“Lỗ hổng yêu cầu người dùng phiên bản Windows bị ảnh hưởng truy cập vào server độc hại do kẻ tấn công phải tạo ra để có thể tiến hành khai thác”.

Theo Google, nhóm hacker có liên quan đến Triều Tiên, APT37, đã khai thác CVE-2022-41128 bằng cách sử dụng một tài liệu Office độc hại nhắc đến thảm họa tại Seoul trong đêm Halloween vừa qua để nhắm mục tiêu vào người dùng Hàn Quốc.

APT37 là nhóm tin tặc được biết đến với việc sử dụng các lỗ hổng zero-day trên Internet Explorer trong các cuộc tấn công, trước đây thường tập trung vào các cá nhân ở Hàn Quốc, đồng thời nhắm mục tiêu vào những người đào thoát khỏi Triều Tiên, các nhà hoạt động nhân quyền, nhà báo và các nhà hoạch định chính sách.

Nhóm còn được gọi bằng nhiều tên khác, bao gồm Group123, InkySquid, Reaper và ScarCruft. Được cho là đang hoạt động thay mặt cho chính phủ Triều Tiên, APT37 trước đây đã được phát hiện sử dụng backdoor như Bluelight, Dolphin và Rokrat, vốn sử dụng các dịch vụ đám mây hợp pháp để ra lệnh và kiểm soát (C&C).

Theo Security Week​