ScarCruft，也称为 APT37、Reaper、RedEyes 和 Ricochet Chollima，已被发现使用武器化的 Microsoft 编译 HTML 帮助 (CHM) 文件将恶意软件传送到目标系统。该组织不断完善和重组其策略以绕过检测，最近还针对韩国实体进行间谍活动。

ScarCruft 还被观察到使用其他文件格式，如 HTA、LNK、XLL 和基于宏的 Microsoft Office 文档，对韩国目标进行鱼叉式网络钓鱼攻击。ScarCruft 的植入物 Chinotto 的新功能，能够捕获屏幕截图和击键，是研究人员研究托管恶意有效载荷超过两年的 GitHub 存储库时发现的。

此外，还发现 ScarCruft 提供凭据网络钓鱼网页并使用名为 AblyGo 的后门，该后门利用 Ably 消息传递框架来接收命令。其他与朝鲜有关联的组织也被发现使用 CHM 文件来分发恶意软件。

根据AhnLab 安全应急响应中心( ASEC )、SEKOIA.IO和Zscaler的多份报告，这一发展表明该组织不断努力改进和重组其回避检测的策略。

Zscaler 研究人员 Sudeep Singh 和 Naveen Selvan 在周二发表的一份新分析报告中表示：“该组织不断改进其工具、技术和程序，同时试验新的文件格式和方法来绕过安全供应商。”

ScarCruft 也以 APT37、Reaper、RedEyes 和 Ricochet Chollima 的名称进行追踪，自今年年初以来，其行动节奏加快，以各种韩国实体为间谍目的。众所周知，它至少从 2012 年开始活跃。

上个月，ASEC披露了一项利用 HWP 文件的活动，这些文件利用 Hangul 文字处理软件中的安全漏洞来部署名为M2RAT 的后门。

但新发现表明，威胁行为者还在针对韩国目标的鱼叉式网络钓鱼攻击中使用其他文件格式，如 CHM、HTA、LNK、XLL 和基于宏的 Microsoft Office 文档。