A Microsoft alertou que atores de ameaças da Coreia do Norte estão explorando uma falha crítica de segurança no JetBrains TeamCity para invadir servidores vulneráveis.
Os ataques foram atribuídos aos grupos Diamond Sleet e Onyx Sleet, ambos parte do notório ator estatal norte-coreano conhecido como Grupo Lazarus.
Em um dos caminhos de ataque, o Diamond Sleet compromete servidores TeamCity e, em seguida, implanta um implante conhecido como ForestTiger.
Uma segunda variante dos ataques utiliza a exploração inicial para recuperar uma DLL maliciosa que é carregada por meio de uma técnica conhecida como sequestro de ordem de pesquisa de DLL.
A Microsoft observou que o adversário utilizou uma combinação de ferramentas e técnicas de ambas as sequências de ataque em determinados casos.
Os ataques subsequentes levam ao implante de uma ferramenta proxy personalizada que ajuda a estabelecer uma conexão persistente entre o host comprometido e a infraestrutura controlada pelo atacante.
Outros grupos de ameaças norte-coreanos, como Kimsuky, também foram identificados em campanhas de spear-phishing que utilizam o malware BabyShark para instalar uma variedade de ferramentas de desktop remoto e software VNC.
