Des autorités sud-coréennes et plusieurs acteurs de la sécurité révèlent une campagne parrainée par un État ayant compromis des sites nationaux considérés comme fiables. L’objectif : abuser d’un logiciel de signature électronique et installer des backdoors sur des ordinateurs visitant une page piégée. Le point marquant est qu’une simple visite peut suffire, sans téléchargement initié par l’utilisateur et sans invite claire.
Dans ce contexte, la problématique centrale concerne AnySign4PC sites compromis : des pages altérées serviraient d’amorce pour exploiter des versions vulnérables du logiciel. Les rapports indiquent aussi que des outils et des schémas techniques se recoupent avec d’autres intrusions observées en 2026.
Pourquoi l’attaque peut se déclencher sans action de l’utilisateur
Selon l’avis conjoint, les attaquants ont exploité des pages compromises pour cibler des systèmes exécutant des versions spécifiques d’AnySign4PC. En pratique, un utilisateur visitant une page contaminée pouvait voir son poste infecté sans téléchargement et sans interaction volontaire.
L’attaque repose sur une faille permettant une exécution de code à distance, rendue possible par un dépassement de mémoire (buffer overflow). Les chercheurs soulignent que le mécanisme ne dépend pas d’un consentement explicite côté utilisateur, ce qui augmente fortement l’impact potentiel.
Quelles versions d’AnySign4PC sont concernées
D’après la notice de sécurité de la KISA (Korea Internet & Security Agency), les versions 1.1.4.4 à 1.1.4.6 sont vulnérables. La KISA indique également que la version 1.1.5.0 constitue la version corrigée.
La recommandation formulée est claire : supprimer les installations vulnérables et appliquer la correction dès que possible. Même si cette campagne a été observée dans un cadre étatique, le risque pour les utilisateurs et les organisations reste concret dès lors qu’un poste exécute une version non corrigée.
Backdoors déposées : SIGNBT et COPPERHEDGE
Les rapports mentionnent l’installation de backdoors dont les noms ressortent comme SIGNBT et COPPERHEDGE. Lorsqu’une page compromise exploite un système vulnérable, le processus d’infection peut aboutir au chargement de code malveillant, à la prise de contrôle et à la préparation d’étapes suivantes.
Les analyses décrivent aussi des capacités typiques d’accès à distance : exécution de commandes, vol de fichiers, reconnaissance interne, injection de code dans des processus Windows, et livraison ultérieure de charges additionnelles selon le scénario d’intrusion.
De la page piégée à l’exécution : la chaîne d’exploitation
Le détail de la chaîne d’exploitation rapporté dans Operation Double Barrel s’appuie sur plusieurs étapes coordonnées. Les chercheurs évoquent l’usage d’images au format PNG pour échanger des clés, vérifier la version installée, puis transmettre du code d’exploitation adapté.
Une fois le code déclenché, la communication entre la page et le logiciel local s’appuie sur un canal utilisant WebSocket. L’infection inclut ensuite un débordement menant à l’exécution de code (shellcode), puis l’injection du contenu dans des processus légitimes de Microsoft.
Le rapport indique que, selon les conditions et la configuration, les attaquants peuvent installer des variantes associées à SIGNBT (ou cartographiées comme SIGNBT 3.0) ou des composants liés à COPPERHEDGE (nommés Brandoor dans l’analyse).
Sites de type “watering hole” et signaux d’activité
En parallèle, des chercheurs décrivent un mode opératoire de watering hole : les attaquants identifient des systèmes accessibles depuis Internet, compromettent le site visité par les cibles, puis insèrent un contenu capable de déclencher l’exploitation au moment de la consultation.
Dans une reconstruction présentée, un webshell est déployé, puis du JavaScript est injecté dans un article d’actualité légitime. Lorsque la victime consulte la page, une erreur est générée par le logiciel de sécurité local, qui finit par créer une DLL malveillante sans demander de confirmation explicite au préalable.
Une fois en mémoire, les charges ultérieures sont déchiffrées, puis du code peut être injecté dans un processus système (par exemple svchost.exe). Les attaquants utilisent ensuite des mécanismes supplémentaires pour maintenir et étendre l’accès.
Chevauchements observés avec d’autres intrusions (dont Gunra)
Les analyses ne se limitent pas à une seule campagne. AhnLab indique avoir identifié des indices d’attaques liées dans 72 organisations en 2026. Il est toutefois précisé que ce chiffre ne correspond pas nécessairement à un total de compromissions intégralement confirmées de même niveau : l’évidence disponible sert aussi à estimer des corrélations.
Les chercheurs mentionnent également un recoupement avec une opération de ransomware nommée Gunra. Dans un incident de mars 2026, une chaîne observée exploite une page compromise de santé et une vulnérabilité associée à un produit de sécurité financière identifié par AhnLab de manière indirecte (sans préciser son nom ni ses numéros de versions).
Dans cette affaire, les intrusions partagent certains éléments : une injection dans SyncHost.exe, l’utilisation de mêmes noms de fichiers (net.tmp et inet.tmp), et des caractéristiques techniques similaires, dont un même empreinte de clé SSH et une adresse de reverse tunnelling.
Attention toutefois : les rapports estiment qu’il s’agit d’un lien technique probable, sans pouvoir prouver que les opérations proviennent d’un seul et même groupe. Les scénarios possibles incluent un partage d’outillage, une infrastructure commune ou l’accès via un intermédiaire.
Attribution et limites : ce que l’on sait, et ce que l’on ne sait pas
Le conseil gouvernemental et le rapport Operation Double Barrel décrivent l’acteur comme une menace parrainée par un État, sans attribution complète du groupe responsable à un nom précis. Les documents ne relient pas formellement l’ensemble de la campagne décrite (entre 2025 et 2026) à Lazarus, et ils ne relient pas Lazarus à Gunra.
Néanmoins, des travaux séparés attribuent certains épisodes : un rapport distinct d’AhnLab associe une attaque watering hole AnySign4PC de mars 2026 à Lazarus. D’autres sources ont aussi documenté des usages antérieurs de watering holes, de logiciels de sécurité sud-coréens et de backdoors (SIGNBT et COPPERHEDGE) dans des opérations attribuées à Lazarus.
Le point important est que ces attributions portent sur des épisodes distincts. Elles ne suffisent pas à conclure, à partir des seules informations publiques, que l’opération décrite ici correspond exactement au même acteur.
Que surveiller : indicateurs de compromission et télémétrie utile
La KISA indique que la faille concerne un buffer overflow dans AnySign4PC. Même si la notice ne fournit pas d’identifiant CVE dans le document public consulté, les recommandations opérationnelles reposent surtout sur la chasse comportementale.
Les rapports suggèrent notamment de surveiller :
- des chargements de DLL suspects par des exécutables pourtant légitimes ;
- des données chiffrées placées sous des entrées de registre liées aux services ;
- des exécutions de code en mémoire (in-memory PE) ;
- la création inhabituelle de services ;
- des injections dans SyncHost.exe ou svchost.exe ;
- des tunnels SSH sortants inattendus.
ENKI rapporte également un comportement qui rend les indicateurs “sur fichier” moins fiables : après copie en mémoire, la backdoor supprime sa configuration, son chargeur et ses propres fichiers sur le disque. À la réinitialisation, elle peut restaurer un chargeur avec un hash différent. Autrement dit, les traces en mémoire et les événements de processus deviennent plus informatifs qu’un simple fichier stable.
Persistance : tâches planifiées et tunnels inverses
Plainbit décrit une chaîne de persistance où une tâche planifiée (scheduled task) nommée RuntimeBroker lance un script (task.vbs). Ce script exécute ensuite un client SSH renommé, afin d’établir un reverse tunnel et de maintenir un canal de communication avec l’infrastructure de l’attaquant.
Dans ce type d’enquête, S2W recommande de préserver la mémoire des processus, les lignes de commande, les valeurs de registre, les événements de chargement de DLL ainsi que les enregistrements réseau avant de fermer des processus, d’isoler des machines ou de lancer des analyses supplémentaires.
Plan d’action recommandé pour réduire le risque
Sur le plan pratique, la priorité est de réduire la surface d’attaque. La KISA recommande de supprimer les installations vulnérables d’AnySign4PC, et de basculer sur la version corrigée annoncée.
Ensuite, les organisations devraient :
- vérifier les machines qui exécutent AnySign4PC et identifier les versions présentes ;
- renforcer la surveillance des comportements typiques : injection, chargements anormaux, exécution en mémoire et connexions réseau atypiques ;
- exiger une hygiène stricte autour des sites et contenus publiés, en particulier si une organisation héberge des pages susceptibles d’être visitées par des cibles à risque ;
- préparer une procédure de collecte de preuves (process memory, registres, événements et traces réseau) dès qu’un comportement suspect est repéré.
Enfin, le rapport d’AhnLab suggère que certains sites compromis seraient liés à une même société de développement et de gestion, ce qui peut évoquer une voie “supply chain”. Les preuves publiques ne confirment pas pour autant que le code source, le processus de mise à jour ou la plateforme centrale aient été compromis : c’est un axe possible, à investiguer avec prudence.
Conclusion
Cette campagne met en évidence un danger particulièrement préoccupant : AnySign4PC sites compromis peuvent mener à des infections sans interaction utilisateur évidente. Une visite suffit parfois, puis des backdoors comme SIGNBT et COPPERHEDGE peuvent être déployées via des chaînes d’exploitation complexes impliquant des actions en mémoire, des injections et des mécanismes de persistance.
La réponse la plus efficace reste la même : corriger rapidement AnySign4PC, rechercher activement les signaux comportementaux et renforcer la surveillance des environnements exposés. Les organisations qui agissent tôt réduisent la fenêtre pendant laquelle une simple consultation d’une page altérée peut devenir une compromission.
Source: https://thehackernews.com/2026/07/hackers-exploit-anysign4pc-via-hacked.html
