AnySign4PC sfruttato da siti coreani compromessi per installare backdoor

🛡️ Executive Summary

• Siti web coreani compromessi sfruttano un buffer overflow di AnySign4PC tramite WebSocket e installano malware senza richiedere download o conferme.
• La catena esegue shellcode, inietta SIGNBT o COPPERHEDGE in processi Microsoft e abilita spionaggio, furto di file e movimenti laterali.
• Le versioni AnySign4PC dalla 1.1.4.4 alla 1.1.4.6 devono essere rimosse o aggiornate alla release corretta 1.1.5.0.

Una campagna attribuita genericamente dalle autorità sudcoreane a un gruppo sponsorizzato da uno Stato ha compromesso siti web legittimi per sfruttare una vulnerabilità zero-day nel software di firma elettronica AnySign4PC. La semplice visita a una pagina manipolata poteva attivare il programma installato sul computer, provocare un buffer overflow ed eseguire codice senza mostrare richieste di download o conferme all’utente. Le intrusioni hanno distribuito varianti delle backdoor SIGNBT e COPPERHEDGE, già associate in precedenti operazioni al gruppo nordcoreano Lazarus. Le autorità coreane indicano come vulnerabili le versioni dalla 1.1.4.4 alla 1.1.4.6, corrette con AnySign4PC 1.1.5.0.

I siti compromessi trasformano AnySign4PC in un vettore di accesso

L’operazione ha combinato spear phishing, compromissione di siti web e sfruttamento di software di sicurezza installato localmente. I messaggi iniziali utilizzavano curriculum, proposte di assunzione, documenti finanziari e sondaggi industriali come esche, mentre la componente watering hole colpiva gli utenti attraverso portali di informazione, sanità, istruzione e manifattura già compromessi. Gli aggressori selezionavano pagine che le vittime avrebbero potuto visitare abitualmente e inserivano codice JavaScript malevolo senza modificare in modo evidente il contenuto mostrato nel browser. La tecnica richiama altre campagne nelle quali gli attori APT hanno trasformato infrastrutture fidate in punti di distribuzione, come gli attacchi watering hole di Evasive Panda contro comunità tibetane. Nel caso AnySign4PC, però, il sito non consegnava semplicemente un file da aprire: il codice della pagina comunicava con il software finanziario già presente sul computer e ne verificava la versione. Secondo l’avviso congiunto pubblicato dalla Korea Internet & Security Agency, l’applicazione era vulnerabile nelle release 1.1.4.4, 1.1.4.5 e 1.1.4.6, mentre la versione 1.1.5.0 contiene la correzione. L’indagine, svolta con il contributo di AhnLab, S2W, ENKI Whitehat e Plainbit, ha rilevato attività collegate presso 72 organizzazioni durante il 2026 e almeno 15 siti legittimi trasformati in watering hole. Il numero non deve tuttavia essere interpretato come la conferma di 72 compromissioni complete: la documentazione pubblica non specifica quali evidenze siano state richieste per includere ciascuna organizzazione nel conteggio.

Quattro immagini PNG preparano il buffer overflow via WebSocket

La catena tecnica descritta dai ricercatori utilizzava quattro immagini PNG come contenitori e strumenti di coordinamento. I file servivano a scambiare materiale crittografico, identificare la versione del software installato, consegnare il codice exploit appropriato e comunicare al server il successo dell’esecuzione. Dopo aver individuato una release vulnerabile di AnySign4PC, lo script presente nella pagina apriva una connessione WebSocket verso il servizio locale esposto dall’applicazione. Il browser diventava così un ponte tra il sito controllato dagli aggressori e un componente privilegiato in esecuzione sul computer. Il payload provocava un buffer overflow, eseguiva shellcode e scriveva una DLL malevola sul sistema senza avviare il normale flusso di download del browser. La vittima poteva quindi essere infettata limitandosi a visitare la pagina, purché disponesse di una versione vulnerabile del programma. Questo modello è particolarmente pericoloso nei mercati nei quali software di autenticazione, firma digitale e protezione finanziaria vengono installati su larga scala per accedere a banche, servizi pubblici e piattaforme aziendali. Un’applicazione progettata per aumentare la sicurezza diventa un bersaglio ad alto rendimento perché offre agli aggressori una base installata prevedibile e un’interfaccia locale raggiungibile dal browser. ENKI Whitehat ha osservato lo sfruttamento dalla seconda metà del 2025, prima della pubblicazione dell’avviso di sicurezza coreano del giugno 2026, qualificando quindi la vulnerabilità come zero-day durante almeno una parte della campagna. La falla non dispone al momento di un identificativo CVE pubblico noto e non deve essere confusa con CVE-2020-7882, una precedente vulnerabilità di directory traversal nello stesso prodotto.

SIGNBT e COPPERHEDGE operano dentro processi Microsoft legittimi

Dopo l’esecuzione iniziale, gli aggressori iniettavano il payload in processi legittimi di Microsoft Windows per ridurre la visibilità dell’attività malevola. Le intrusioni osservate hanno installato Struggle, nome utilizzato da AhnLab per una variante di SIGNBT 3.0, oppure Brandoor, associato alla famiglia COPPERHEDGE. Le backdoor supportano esecuzione remota di comandi, ricognizione interna, furto di file, caricamento di payload aggiuntivi e process injection. Alcune varianti conservavano configurazioni e componenti cifrati nel registro di Windows, decifravano le fasi successive direttamente in memoria e iniettavano codice in processi come svchost.exe, riducendo gli artefatti disponibili sul disco. La capacità di operare prevalentemente in memoria è coerente con tecniche già osservate nell’ecosistema nordcoreano e descritte nell’analisi di RemotePE, il RAT stealth di Lazarus contro finanza e criptovalute. In alcune modalità operative, la backdoor eliminava dal registro la propria configurazione e cancellava loader e file malevoli dopo averli copiati in memoria. I componenti venivano ripristinati soltanto durante uno spegnimento regolare, mentre il loader ricreato poteva presentare un hash differente. Questa caratteristica limita l’efficacia delle rilevazioni basate esclusivamente su firme statiche e rende più importanti telemetria dei processi, caricamenti anomali di DLL, modifiche al registro, comandi eseguiti e connessioni di rete. L’attribuzione dell’intera operazione resta prudente: l’avviso governativo parla di un attore sponsorizzato da uno Stato e non assegna formalmente la campagna a Lazarus, anche se precedenti ricerche hanno collegato il gruppo nordcoreano all’uso di AnySign4PC, SIGNBT, COPPERHEDGE e watering hole contro obiettivi sudcoreani.

Gli attaccanti rubano credenziali e si muovono nella rete

L’analisi forense di Plainbit mostra che l’infezione del singolo endpoint rappresentava soltanto l’inizio dell’operazione. Dopo aver compromesso il sito della vittima e inserito JavaScript in una pagina legittima, gli aggressori utilizzavano la backdoor per ampliare l’accesso, elevare i privilegi e raccogliere credenziali. La strumentazione osservata comprendeva Mimikatz, utility per il recupero delle password, exploit di privilege escalation, connessioni Remote Desktop Protocol e NLBrute per individuare account utilizzabili su altri sistemi. Una catena di persistenza impiegava un’attività pianificata denominata RuntimeBroker, che avviava task.vbs e successivamente un client SSH rinominato SearchHost.exe. Il processo apriva un reverse tunnel verso l’infrastruttura degli aggressori, offrendo un canale alternativo per controllare la rete anche quando la comunicazione diretta della backdoor veniva bloccata. Gli operatori hanno inoltre utilizzato SDelete e CCleaner per eliminare file e ridurre le tracce forensi, rinominando alcuni componenti con stringhe casuali di quattro caratteri prima della cancellazione. La sequenza dimostra che il rischio non riguarda soltanto i computer utilizzati per operazioni bancarie o firme elettroniche, ma l’intera rete aziendale raggiungibile dall’endpoint infetto. Una singola visita a un sito fidato poteva trasformarsi in furto delle credenziali, accesso RDP, tunneling SSH e movimento laterale verso server interni. Per questo motivo l’indagine non può limitarsi alla ricerca della DLL iniziale: devono essere controllati processi anomali, task pianificati, chiavi di registro, accessi remoti, creazione di servizi, caricamenti DLL e connessioni SSH inattese.

Le analogie con Gunra non provano un unico responsabile

AhnLab ha individuato sovrapposizioni tra la campagna di spionaggio e un’intrusione del marzo 2026 conclusa con il ransomware Gunra. Entrambe le operazioni hanno utilizzato lo stesso sito sanitario compromesso, una medesima vulnerabilità in un prodotto finanziario non identificato e l’iniezione di codice nel processo SyncHost.exe. Ulteriori elementi comuni comprendono i file net.tmp e inet.tmp, argomenti con strutture analoghe, la stessa impronta di una chiave pubblica SSH, l’indirizzo di reverse tunneling 176.65.128[.]26 e il dominio jshosting[.]me per la distribuzione degli script exploit. Le somiglianze si estendono alle procedure anti-forensi, ma non consentono di stabilire che lo stesso gruppo abbia condotto entrambe le operazioni. I ricercatori considerano possibili una collaborazione limitata, la condivisione di strumenti, il riutilizzo dell’infrastruttura, l’intervento di un initial access broker oppure l’accesso indipendente alle stesse risorse operative. La distinzione è importante perché Gunra opera come ransomware-as-a-service e aveva colpito almeno 32 organizzazioni entro marzo 2026, mentre la campagna AnySign4PC mostra finalità prevalentemente orientate allo spionaggio. Il contesto del gruppo e delle sue build Windows e Linux era già emerso nell’analisi sul ransomware Gunra e sulle sue operazioni multipiattaforma. La presenza di elementi condivisi indica con buona probabilità un accesso tecnico comune o riutilizzato, ma non dimostra una sovrapposizione completa tra operatori statali e affiliati ransomware. Anche l’attribuzione a Lazarus deve quindi restare circoscritta alle campagne per le quali esistono valutazioni specifiche, evitando di trasferirla automaticamente a ogni incidente che utilizza AnySign4PC o infrastrutture correlate.

AnySign4PC 1.1.5.0 chiude la falla ma serve una verifica estesa

La misura urgente consiste nel rimuovere le versioni vulnerabili di AnySign4PC e installare la release 1.1.5.0 o una versione successiva fornita attraverso canali ufficiali. Gli amministratori devono identificare le installazioni dalla 1.1.4.4 alla 1.1.4.6, verificare quali sistemi abbiano visitato siti potenzialmente compromessi e cercare indicatori comportamentali anche in assenza di rilevamenti antivirus. Devono essere analizzati caricamenti sospetti di DLL da parte di processi legittimi, esecuzione di PE direttamente in memoria, dati cifrati nelle chiavi dei servizi, creazione inattesa di task pianificati, iniezione in SyncHost.exe o svchost.exe, connessioni RDP insolite e tunnel SSH verso infrastrutture esterne. La conservazione della memoria dei processi, delle righe di comando, degli eventi di caricamento delle librerie e dei dati di rete deve precedere l’isolamento o la terminazione dei componenti sospetti, perché alcune varianti eliminano automaticamente i file utilizzati. La campagna conferma inoltre l’evoluzione degli attacchi nordcoreani contro tecnologie fidate, già visibile nelle operazioni con PolinRider e pacchetti Rollup compromessi da Lazarus. In questo caso il punto debole non è una libreria di sviluppo, ma un programma di autenticazione distribuito capillarmente: la sua compromissione permette di trasformare siti legittimi in exploit kit invisibili e di raggiungere le vittime senza allegati, macro o download volontari.