Een Europese backbone-provider is via een kwetsbare versie van ManageEngine Servicedesk besmet met malware, zo stelt Cisco. De niet nader genoemde "internet backbone infrastructure provider" had nagelaten een beschikbare beveiligingsupdate te installeren. Servicedesk is software waarmee helpdesks allerlei taken kunnen uitvoeren, zoals incidentmanagement, het beheer van supporttickets en het genereren van rapportages.

Het beveiligingslek, aangeduid als CVE-2022-47966, maakt het voor een ongeauthenticeerde aanvaller mogelijk om op afstand willekeurige code op kwetsbare systemen uit te voeren. Eind oktober en begin november vorig jaar kwam Zoho met beveiligingsupdates voor de kwetsbaarheid. In januari van dit jaar werd proof-of-concept exploitcode voor het beveiligingslek openbaar gemaakt. Vijf dagen na de publicatie maken aanvallers actief misbruik van de kwetsbaarheid.

De aanval op de backbone-provider is volgens Cisco het werk van de Lazarus Group, die volgens het netwerkbedrijf wordt gesponsord door de Noord-Koreaanse overheid. Lazarus wordt door onderzoekers aangemerkt als een financieel gemotiveerde groep en richt zich vaak op cryptogerelateerde bedrijven. Wat het precies met de aanval op de backbone-provider wilde bereiken is niet bekend.

De malware die de groep bij de aanvallen inzet maakt gebruik van het QT framework. Dat vergroot volgens Cisco de complexiteit van de code, wat analyse door onderzoekers lastiger maakt in vergelijking met malware gemaakt met eenvoudigere programmeertalen.