Beveiligingsonderzoekers zijn opnieuw door een Noord-Koreaanse groep aangevallen via een zerodaylek in een niet nader genoemd programma, zo claimt Google. In welke software het beveiligingslek aanwezig is laat het techbedrijf niet weten. Een update voor de kwetsbaarheid wordt nog ontwikkeld. Daarnaast maakten de aanvallers gebruik van een op GitHub gehoste tool, om zo de systemen van onderzoekers te compromitteren.

Twee jaar geleden meldde Google dat beveiligingsonderzoekers het doelwit van gerichte aanvallen waren. Die aanvallen werden door het techbedrijf ook toegeschreven aan een Noord-Koreaanse groep. Net als met die aanvallen zijn ook bij de nu waargenomen aanvallen onderzoekers via X en andere sociale media benaderd. Na het initiële contact proberen de aanvallers het contact voort te zetten via chatapps zoals Signal, WhatsApp en Wire.

Vervolgens sturen de aanvallers een bestand dat 'minstens één zeroday in een populair softwarepakket' bevat, aldus Google. Het techbedrijf waarschuwde de betreffende softwareontwikkelaar, die bezig is met de ontwikkeling van een patch. De malware die via het zerodaylek wordt geïnstalleerd verzamelt informatie over het systeem en laat de aanvallers daarop commando's uitvoeren.

Naast het gebruik van een zeroday publiceerden de aanvallers ook een tool voor het downloaden van 'debugging symbols' bij Microsoft, Google, Mozilla en Citrix. Symbols bevatten aanvullende informatie over bestanden, wat handig kan zijn voor het debuggen van problemen in software of uitvoeren van beveiligingsonderzoek. De tool bood de beloofde functionaliteit, maar voerde in de achtergrond ook willekeurige code van de aanvallers uit.

Google roept iedereen op die de tool gedownload heeft om een herinstallatie van het systeem uit te voeren. Naast een beschrijving van de aanval heeft Google ook verschillende details over de aanvallers gegeven, zoals gebruikte ip-adressen, domeinen, accounts en hashes van bestanden.