APT37 dataradering utnyttjar Android Find Hub

APT37:s data­raderingsattack visar hur nordkoreanska operatörer vapeniserar betrodda Android-funktioner efter att de stulit kontouppgifter. Gruppen använder spjutfiske för att kompromettera offer och utlöser sedan fjärr­radering via Find Hub för att förstöra bevis och försvåra återställning.

Hur APT37 får initial åtkomst

Angriparna börjar med riktade KakaoTalk-meddelanden som efterliknar legitima utskick från koreanska statliga myndigheter. Meddelandet innehåller en signerad MSI- eller ZIP-fil som visar ett falskt felmeddelande. Filen installerar tyst en AutoIT-loader som skapar uthållighet och laddar ner ytterligare komponenter.

Säkerhetsforskare kopplade payloadsen till verktyg som ofta används av APT37 och närliggande kluster, inklusive RemcosRAT, QuasarRAT och RftRAT. Dessa verktyg ger operatören full kommandokontroll och möjliggör stöld av inloggningsuppgifter från Google- och Naver-konton. När APT37 får åtkomst till molnkonton eskalerar attacken.

Missbruk av Googles Find Hub

APT37:s data­raderingsattack utnyttjar inte en Android-sårbarhet. Hotaktören missbrukar istället Find Hub, funktionen för fjärradministration.

Angriparna loggar in på offrets Google-konto, spårar enhetens position och väljer alternativet för fabriks­återställning. De övervakar GPS-rörelser för att säkerställa att offret befinner sig långt från enheten, vilket minskar risken för avbrott. Raderingen tar bort lokal data, stoppar kommunikationskanaler och döljer spår från den tidigare komprometteringen.

Påverkan på offer

Forskare såg omfattande attacker mot personer som arbetar med nordkoreanska avhopparprogram. Ett offer stödde unga avhoppare, vilket tyder på ett tydligt underrättelsemotiv. Andra mål fanns inom utbildning, offentlig sektor och kryptovaluta.

En fullständig radering tar bort loggar, meddelanden och indikatorer som annars skulle avslöja angriparnas aktivitet. Operatören behåller ofta åtkomst till offrets molnkonton, vilket möjliggör fortsatta operationer efter återställningen.

Försvarsåtgärder

Säkerhetsteam kan minska risken för APT37:s data­raderingsattack genom att införa flera viktiga kontroller:

• Aktivera multifaktorautentisering för Google- och andra högriskkonton.
• Använd program för högrisk­skydd när sådant finns.
• Behandla oväntade KakaoTalk-bilagor som misstänkta.
• Verifiera akuta meddelanden via en sekundär kanal.
• Övervaka ovana inloggningar och fjärr­raderingskommandon.
• Säkerställ externa säkerhetskopior för snabb återställning.

Dessa steg försvagar angriparnas kedja och skyddar användare som utsätts för riktade phishingkampanjer.

Slutsats

APT37:s data­raderingsattack avslöjar riskerna som uppstår när stulna kontouppgifter kombineras med legitima enhetsfunktioner. Hotaktören använder betrodda Android-verktyg för att radera bevis och fördröja utredningar. Organisationer och individer måste prioritera kontosäkerhet och proaktiv övervakning för att hindra eskalering. Rätt kontroller skapar motståndskraft mot framtida kampanjer som bygger på samma strategi.