Een groep aanvallers werkzaam voor de Noord-Koreaanse overheid heeft aanvallen op personeel van Zuid-Koreaanse securitybedrijven uitgevoerd door zich voor te doen als recruiters van techgigant Samsung, zo claimt Google. De groep was volgens het techbedrijf eerder verantwoordelijk voor aanvallen op beveiligingsonderzoekers.

De recente aanvallen die Googles Threat Analysis Group ontdekte waren gericht tegen medewerkers van Zuid-Koreaanse securitybedrijven die antivirussoftware verkopen. De aanvallers verstuurden zogenaamde vacatures voor posities bij Samsung. De meegestuurde pdf was echter kapot en niet te openen. Wanneer slachtoffers reageerden dat ze de taakomschrijving niet konden openen lieten de aanvallers weten dat er een "Secure PDF Reader" moest worden gedownload.

Deze pdf-lezer was te downloaden via een meegestuurde link die naar Google Drive wees. De Secure PDF Reader was in werkelijkheid een aangepaste versie van pdf-lezer PDFTron en voorzien van malware waarmee de aanvallers willekeurige commando's op besmette machines konden uitvoeren, alsmede bestanden konden uploaden. Vorig jaar ontdekte Google een aanval waarbij een aangepaste versie van pdf-lezer SumatraPDF werd gebruikt.

"Pdf's en bijbehorende lezers blijven een aanvalstactiek waar verschillende groepen gebruik van maken", aldus Google in een nieuw rapport van het Cybersecurity Action Team (pdf).