CrossWeb EX è un software sudcoreano per la sicurezza finanziaria e l’autenticazione web. È progettato per supportare le funzioni di sicurezza utilizzate dai servizi online, compresi i siti web finanziari. Poiché utenti e organizzazioni possono fidarsi di software di questo tipo, la sua presenza su un dispositivo può essere rilevante durante un’indagine, ma non indica di per sé che il software o il suo fornitore siano stati compromessi.
Nella catena d’infezione segnalata dell’operazione FlashHole, CrossWeb EX è stato menzionato come parte dell’ambiente software coinvolto. Le informazioni disponibili non stabiliscono il meccanismo esatto né dimostrano una violazione del fornitore, di un aggiornamento o della distribuzione. I difensori dovrebbero verificare la provenienza e la firma dell’eseguibile, esaminarne l’attività dei processi padre-figlio e il contesto di avvio, e risalire alla prima esecuzione sospetta. Questi controlli aiutano a distinguere l’uso normale da un abuso o da un concatenamento insolito di processi, senza considerare la sola presenza dell’applicazione come prova di un attacco.