韩国黑客利用WPS零日漏洞开展大规模间谍活动

近日，韩国黑客活动ESET安全研究人员发现韩国网络间谍组织APT-C-60利用WPS Office Windows版本中的利用S零一个零日代码执行漏洞（CVE-2024-7262） ，在东亚地区的日漏目标系统中安装了名为SpyGlace的后门程序 。

WPS Office是洞开中国金山软件公司开发的一款生产力套件 ，在亚洲地区拥有广泛的规模用户基础，全球活跃用户超过5亿 。间谍

WPS零日漏洞被野外利用超过半年

此次曝光的韩国黑客活动CVE-2024-7262漏洞
，涉及WPS Office对自定义协议处理程序（如ksoqing://）的利用S零处理方式不当，使攻击者能够通过恶意URL在文档中执行外部应用程序。云计算日漏这一漏洞自2024年2月下旬以来已在野外被利用，洞开影响了从2023年8月发布的规模12.2.0.13110版本到2024年3月发布的12.1.0.16412版本 。

APT-C-60在攻击中使用了恶意超链接
，间谍隐藏在图片下方  ，韩国黑客活动诱使用户点击 。利用S零点击后
，日漏会执行特定插件（promecefpluginhost.exe），加载恶意DLL文件（ksojscore.dll） ，最终下载并执行SpyGlace后门程序 。

APT-C-60攻击路径

SpyGlace是一个后门程序，根据Threatbook此前的分析报告 ，APT-C-60曾在攻击人力资源和贸易相关组织时使用过SpyGlace。免费模板

补丁不完善导致新的漏洞

更为严重的是 ，ESET的研究人员在调查APT-C-60的攻击时
，还发现了另一个相关的任意代码执行漏洞（CVE-2024-7263）。这个漏洞是由于金山软件对CVE-2024-7262修补不完全导致的
，某些参数如CefPluginPathU8未得到充分验证 ，攻击者可能利用这一漏洞再次执行恶意代码 。（此漏洞可以在本地或通过网络共享进行利用）

尽管研究人员尚未观察到APT-C-60或其他攻击者利用CVE-2024-7263在野外发动攻击，但这个漏洞的源码库存在意味着在足够的时间内，攻击者可能会发现并利用这一安全缺口 。

漏洞披露时间线

以下为ESET官方博客（按照其与金山协调的漏洞披露政策）公布的自武器化文档上传到 VirusTotal至今的时间线：

2024-02-29：CVE-2024-7262的漏洞利用文档上传至VirusTotal。2024-03-??：金山发布了一个更新，悄悄修补了CVE-2024-7672漏洞 ，因此 2024-02-29披露的漏洞不再有效。这是通过分析2024-03至2024-04之间所有可访问的WPS Office 版本后得出的结论，源码下载因为金山在尝试修复此漏洞时并未特别提供其操作的精确细节。2024-04-30
：ESET分析了来自VirusTotal的恶意文档，发现它正在积极利用 CVE-2024-7262 ，这是文档首次使用时的一个零日漏洞。ESET还发现WPS的静默补丁仅解决了部分错误代码，其余有缺陷的代码仍然可被利用
。2024-05-25：ESET联系了金山软件 ，报告了发现。虽然第一个漏洞已经修复 ，但ESET询问金山软件是高防服务器否可以创建CVE条目和/或公开声明，就像对CVE-2022-24934所做的那样。2024-05-30：金山软件承认了这些漏洞并告诉ESET会及时更新信息。2024-06-17：ESET要求更新。2024-06-22：金山软件告诉ESET开发团队仍在努力解决这个问题，并计划在即将推出的版本中修复这个问题 。2024-07-31 ：根据后续测试，ESET发现CVE-2024-7263已被悄悄修复，ESET告知金山软件已预留并正在准备CVE-2024-7262和CVE-2024-7263。2024-08-11：DBAPPSecurity团队独立发布了其调查结果 。2024-08-15 ：CVE-2024-7262和CVE-2024-7263发布 。2024-08-16 ：ESET要求金山软件进行另一次更新。2024-08-22 ：金山软件承认已于5月底修复了CVE-2024-7263，这与该公司在2024-06-22声称其开发团队“仍在努力解决该问题”的模板下载说法相矛盾。2024-08-28：金山软件已承认这两个漏洞，并已修复  。但是 ，该公司表示无意公开CVE-2024-7262的野外利用情况，因此ESET决定发布博客文章警告金山软件的客户：由于CVE-2024-7262漏洞野外利用的第三方披露（会增加漏洞被利用的可能性），他们应紧急更新WPS Office。应对措施与建议

目前，ESET强烈建议WPS Office用户尽快更新到最新版本
，至少升级到12.2.0.17119版本 ，以解决这两个代码执行漏洞。ESET在报告中警告：“这个漏洞非常狡猾
，足以诱使任何用户点击看似合法的电子表格，攻击成功率极高 。”

结语

WPS零日漏洞攻击事件再次提醒我们，在使用流行办公软件时，仍需保持警惕，及时更新软件以防范潜在的安全威胁。此外，APT-C-60的攻击活动表明，针对东南亚地区的目标 ，网络间谍组织正在不断寻找新的漏洞和更高效的攻击手段
。

有关APT-C-60活动的详细入侵指标（IoCs）列表
，可以访问ESET在GitHub上的项目页面获取
。