Een nieuwe campagne toont hoe eenvoudig een compromis op website-niveau kan uitmonden in toegang tot systemen waarop software van certificering of financiële beveiliging draait. In Zuid-Korea is door KISA en meerdere securitybedrijven een door staat gesteunde aanpak beschreven waarbij gehackte, ‘vertrouwde’ binnenlandse websites worden ingezet om bezoekers te besmetten. Daarbij draait het om AnySign4PC misbruikt—met als doel backdoors te plaatsen zonder dat de gebruiker een download- of toestemmingsprompt krijgt.
Het opvallende is dat een paginabezoek op zichzelf al genoeg kan zijn om een kwetsbare versie van de software te activeren en in het systeem te laten landen wat daarna als kwaadaardige functionaliteit moet dienen. Hieronder zetten we de belangrijkste bevindingen en praktische aandachtspunten op een rij.
Van phishing en watering holes naar software-infectie
Volgens de gezamenlijke advisories combineren de aanvallers meerdere instappen. Ze gebruiken spear-phishingberichten die als cv’s, wervingsbenaderingen, investeringsmateriaal en brancheonderzoek worden vermomd. Daarnaast compromitteren ze sites in sectoren zoals nieuws, zorg, onderwijs en productie, plus kleinere websites met zwakkere beveiliging—sites waar de beoogde slachtoffers waarschijnlijk toch al komen.
Bij een watering-hole scenario wordt niet direct malware aangeboden via een duidelijke download. In plaats daarvan wordt de browser-actie gekoppeld aan een lokale component: de bezoekers draaien immers software die voor digitale handtekeningen (certificate-based signing) wordt ingezet, namelijk AnySign4PC.
Welke AnySign4PC-versies kwetsbaar zijn
KISA stelt dat versies 1.1.4.4 tot en met 1.1.4.6 kwetsbaar zijn. De instantie noemt 1.1.5.0 als de gerepareerde release. In de publicatie wordt bovendien aangeraden om kwetsbare installaties te verwijderen in plaats van alleen ‘bij te werken’.
Het gaat in de beschrijving om een buffer overflow die remote code execution mogelijk maakt. Daarbij blijkt dat een geïnfecteerde pagina kan sturen op het lokaal aanwezige AnySign4PC-onderdeel, met als gevolg dat de malwareketen kan starten zonder dat een gebruiker iets hoeft te downloaden of te bevestigen.
Hoe de exploitketen werkt volgens de onderzoekers
Securitybedrijven beschrijven een keten die inspeelt op versiedetectie en daarna gericht de juiste exploitcode aanbiedt. In de Operation Double Barrel beschrijving wordt gesproken over het gebruik van vier PNG-afbeeldingen om sleutels uit te wisselen, de geïnstalleerde softwareversie te controleren en vervolgens versie-specifieke code te leveren.
De kwaadaardige pagina communiceert met het lokale beveiligingsprogramma via WebSocket. Daarna wordt een buffer overflow getriggerd om shellcode uit te voeren. Vervolgens wordt de payload geïnjecteerd in legitieme Microsoft-processen.
Welke backdoors uiteindelijk worden neergezet, hangt af van de context van de intrusie: onderzoekers noemen onder meer Struggle (gekoppeld aan SIGNBT 3.0) en daarnaast Brandoor (door AhnLab aangeduid als COPPERHEDGE). De functionaliteit die eraan wordt toegeschreven omvat onder andere remote command execution, het stelen van bestanden, interne verkenning, process injection en het aanleveren van verdere payloads.
Symptomen en indicatoren: waar je op kunt jagen
De aanbevelingen richten zich vooral op gedragsobservaties. In plaats van enkel te zoeken naar één vaste bestandsnaam of één vaste hash, wordt aangeraden om verdachte sporen in het systeem te correleren.
- Let op verdachte DLL-loading door legitieme executables.
- Zoek naar versleutelde data die opduikt onder service-registry-achtige entries.
- Detecteer in-memory PE-uitvoering en ongebruikelijke dienst- of service-creatie.
- Let op injectie in SyncHost.exe of svchost.exe.
- Monitor onverwachte uitgaande verbindingen, zoals outbound SSH-tunneling.
ENKI merkte bovendien iets praktisch nuttigs op: in bepaalde modi worden configuratie- en backdoorbestanden na het inladen opnieuw verwijderd van de schijf. Daardoor is stabiele bestandsmatching minder betrouwbaar dan telemetry rondom procesgedrag en netwerkactiviteit.
Ook wordt gewezen op een persistence-route met een scheduled task: een taak met een specifieke naam zou vervolgens een script starten en daarna een (hernoemde) SSH-client gebruiken om een reverse tunnel op te zetten.
Link met andere aanvallen: Gunra-spoor
Een deel van de aandacht gaat uit naar een mogelijk gedeelde technische route met ransomware. AhnLab beschrijft dat een Gunra-ransomware-inbraak in maart 2026 een gecompromitteerde zorgwebsite gebruikte en een vergelijkbare productkwetsbaarheid uit de hoek van ‘financial-security software’. In beide gevallen zou code zijn geïnjecteerd in SyncHost.exe.
Wel benadrukken de onderzoekers dat niet met zekerheid is vast te stellen dat de kwetsbaarheid precies dezelfde is als bij AnySign4PC: AhnLab identificeert het “financial-security software A” niet met naam, versie of een eenduidige kwetsbaarheidsidentifier. Daardoor blijft het verband technisch plausibel, maar niet hard te bewijzen.
Er worden ook overlappunten genoemd in bestandnamen (zoals net.tmp en inet.tmp), argumentformaten, een SSH public-key fingerprint en zelfs een reverse-tunnelling adres. Daarnaast wijzen analyses op consistente anti-forensic stappen, zoals het wissen en het hernoemen van kwaadaardige bestanden voor verwijdering.
Attributie en waarom dat nog niet volledig rond is
De overheidspublicatie en het Operation Double Barrel rapport spreken over een state-sponsored dreigingsactor, maar zonder de campagne officieel volledig aan één specifieke groep te koppelen. Wel is er eerder, in een apart rapport, beschreven dat een AnySign4PC watering-hole aanval in maart 2026 aan Lazarus is toegeschreven—zonder dat dat automatisch betekent dat de hele keten van deze campagne of de Gunra-links ook door dezelfde actor is uitgevoerd.
Met andere woorden: er is technische samenhang en hergebruik van paden of infrastructuur zichtbaar, maar de rapporten kunnen niet uitsluiten dat verschillende actoren via gedeelde middelen of een access broker dezelfde routes hebben benut.
Wat je nu kunt doen
Als je in je omgeving AnySign4PC gebruikt, is het kernpunt simpel: AnySign4PC misbruikt kan plaatsvinden door een aanval die via een gehackte website lokaal code uitvoert. Pak daarom onmiddellijk de opvolging op KISA-niveau:
- Controleer of AnySign4PC aanwezig is met een versie tussen 1.1.4.4 en 1.1.4.6.
- Gebruik 1.1.5.0 als richtlijn voor de oplossing en volg het advies om kwetsbare installaties te verwijderen.
- Jacht op gedragssignalen: DLL-loading, in-memory uitvoering, injecties in SyncHost/svchost en verdachte SSH-tunnels.
- Bewaar waar mogelijk procesgeheugen, command lines, relevante registry-waarden en netwerkrecords voordat je systemen afschakelt.
Door vooral te focussen op wat een systeem doet in plaats van uitsluitend op wat het “aan bestand” laat zien, vergroot je de kans om dit soort eindpunten tijdig te detecteren—zeker wanneer de aanvaller sporen wist zodra de payload actief is.
Conclusie: deze campagne laat zien dat een compromis van vertrouwde websites en slimme exploitketens kunnen leiden tot het installeren van backdoors via lokale kwetsbare software. Met concrete versie-informatie, duidelijke gedragsindicatoren en een gericht opschoningsplan kun je de schade beperken en herinfectie voorkomen.
Bron: https://thehackernews.com/2026/07/hackers-exploit-anysign4pc-via-hacked.html
