Gli hacker sfruttano AnySign4PC tramite siti coreani compromessi per installare backdoor

Una nuova ondata di attacchi sta prendendo di mira gli utenti di AnySign4PC, un software di firma digitale e autenticazione comunemente richiesto dai siti web bancari, di e-commerce e governativi sudcoreani. I ricercatori di sicurezza hanno osservato hacker che irrompono in siti web coreani legittimi e incorporano codice dannoso che sfrutta una vulnerabilità non specificata nella piattaforma AnySign4PC. Quando un visitatore ignaro approda su una di queste pagine compromesse, l'exploit attiva il download e l'installazione silenziosa di una backdoor, il tutto senza mostrare alcun avviso, richiesta o interazione con l'utente.

AnySign4PC è un middleware di sicurezza ampiamente adottato in Corea per firme digitali legalmente vincolanti e verifica dell'identità. Viene eseguito come servizio in background sui sistemi Windows e si integra con i browser web tramite un gestore di protocolli locale. Poiché molti portali governativi e finanziari ad alto traffico ne rendono obbligatoria l'installazione, il software è presente su milioni di computer. La catena di attacco recentemente segnalata mostra che la semplice visita a un sito web hackerato può essere sufficiente per far attecchire il malware, trasformando il software fidato in un meccanismo di distribuzione furtivo per gli attaccanti.

Una volta installata, la backdoor fornisce accesso remoto alla macchina infetta, aprendo la porta al furto di credenziali, al movimento laterale all'interno delle reti, all'esfiltrazione di dati o all'installazione di payload aggiuntivi. Per le aziende e gli amministratori IT, il rischio è amplificato se i dipendenti utilizzano workstation che accedono anche a questi siti, esponendo potenzialmente le reti aziendali a violazioni. Il fatto che non appaia alcuna finestra di approvazione rende la compromissione particolarmente difficile da rilevare per l'utente finale.

I proprietari di siti web, in particolare quelli che gestiscono portali in lingua coreana o specifici per regione, dovrebbero considerarlo un duro promemoria dei pericoli a cascata di una compromissione del sito. Un attaccante che ottiene il controllo del tuo server web può iniettare script che prendono di mira vulnerabilità nel software locale dei visitatori. La scansione regolare delle vulnerabilità, l'aggiornamento del sistema di gestione dei contenuti, l'impiego di un firewall per applicazioni web e il monitoraggio di modifiche non autorizzate ai file sono difese essenziali. Per i proprietari di siti che utilizzano soluzioni di hosting gestito che includono il monitoraggio dell'integrità dei file e l'applicazione proattiva di patch di sicurezza, come quelle offerte da AEU Hosting, il rischio di diventare un involontario distributore di malware è significativamente ridotto.

Si consiglia agli utenti di mantenere aggiornato AnySign4PC, anche se al momento della stesura di questo articolo non era stata confermata alcuna patch ufficiale per la vulnerabilità sfruttata, e di prendere in considerazione la disinstallazione del software se non strettamente necessario. Anche l'utilizzo di un browser dedicato e isolato per transazioni sensibili o l'impiego di una macchina virtuale può limitare l'esposizione. Gli strumenti di rilevamento e risposta degli endpoint (EDR) possono rilevare la successiva attività della backdoor. Questa campagna sottolinea come la compromissione di un sito web fidato possa trasformarsi in una minaccia diffusa per gli endpoint, rendendo imperativa una sicurezza a strati sia per gli operatori dei siti che per gli utenti finali.