North Korea Poses As Meta To Deploy Complex Backdoor At Aerospace Org

Ponovno objavil Platon

Spremljevalci: 0

North Korea Poses as Meta to Deploy Complex Backdoor at Aerospace Org PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Zdi se, da je severnokorejska skupina Lazarus Group, ki jo sponzorira država, svojemu arzenalu zlonamerne programske opreme dodala nova zapletena in še vedno razvijajoča se zadnja vrata, ki so jih prvič opazili pri uspešnem kibernetskem kompromisu španskega letalskega podjetja.

Raziskovalci družbe ESET, ki so odkrili zlonamerno programsko opremo, sledijo novi grožnji kot »LightlessCan« in verjamejo, da temelji na izvorni kodi vodilnega trojanca BlindingCan za oddaljeni dostop (RAT) skupine groženj.

Lazarus je groženjska skupina Severne Koreje, ki jo podpira država in so jo ameriške organizacije in varnostne skupine v podjetjih v preteklih letih dobro poznale. Odkar je prvič postala razvpita z uničujočim napadom na Sony Pictures leta 2014, se je skupina Lazarus uveljavila kot ena najbolj škodljivih skupin naprednih trajnih groženj (APT), ki so trenutno aktivne. V preteklih letih je z napadi na banke in druge finančne institucije ukradel na desetine milijonov dolarjev; izločil terabajte občutljivih informacij obrambni izvajalci, vladne agencije, zdravstvenih organizacij in energetskih podjetij; in usmrtili številne ropi kriptovalut in napadi dobavne verige.

Spear-Phishing kot Meta za začetni dostop

ESET-ova analiza napada na špansko vesoljsko podjetje je pokazala, da so akterji Lazarusa pridobili začetni dostop prek uspešne kampanje lažnega predstavljanja, ki je bila usmerjena na določene zaposlene v podjetju. Igralec grožnje se je predstavljal kot rekruter za Facebookovega starša Meto in je stopil v stik z razvijalci v letalskem podjetju prek LinkedIn Messaging.

Zaposleni, ki so ga prevarali, da je sledil začetnemu sporočilu, je prejel dva izziva kodiranja, domnevno za preverjanje zaposlenega znanja programskega jezika C++. V resnici so izzivi kodiranja – gostovani na platformi za shranjevanje v oblaku tretje osebe – vsebovali zlonamerne izvedljive datoteke, ki so prikrito prenesle dodatne koristne obremenitve v sistem zaposlenega, ko so poskušali rešiti izziv.

Prvi od teh uporabnih obremenitev je bil prenosnik HTTPS, ki so ga raziskovalci ESET-a poimenovali NickelLoader. Orodje je v bistvu omogočalo igralcem skupine Lazarus, da v pomnilnik ogroženega sistema namestijo kateri koli program po svoji izbiri. V tem primeru je skupina Lazarus uporabila NickelLoader, da je spustila dva RAT-ja – različico BlindingCan z omejeno funkcijo in stranska vrata LightlessCan. Vloga poenostavljene različice BlindingCan – ki jo je ESET poimenoval miniBlindingCan – je zbiranje informacij o sistemu, kot so ime računalnika, različica sistema Windows in konfiguracijski podatki, ter prejemanje in izvajanje ukazov s strežnika za ukaze in nadzor (C2). .

Za organizacije, na katere cilja skupina Lazarus, LightlessCan predstavlja pomembno novo grožnjo, meni raziskovalec ESET Peter Kálnai je zapisal v objavi na blogu s podrobnostmi o novoodkriti zlonamerni programski opremi.

Zasnova zlonamerne programske opreme daje akterjem skupine Lazarus način, da v veliki meri zadržijo sledi zlonamerne dejavnosti na ogroženih sistemih, s čimer omejujejo zmožnost nadzora v realnem času in forenzičnih orodij, da jo odkrijejo.

PODGANA, ki se skriva pred spremljanjem v realnem času in forenzičnimi orodji

LightlessCan vključuje podporo za kar 68 različnih ukazov, od katerih mnogi posnemajo izvorne ukaze Windows, kot so ping, ipconfig, systeminfo in net za zbiranje informacij o sistemu in okolju. Samo 43 od teh ukazov je trenutno dejansko delujočih - ostali so nekakšni nadomestni znaki, ki jih bo povzročitelj grožnje predvidoma omogočil, da bodo v celoti delovali pozneje, kar kaže, da je orodje še v razvoju.

"Projekt za RAT vsekakor temelji na izvorni kodi BlindingCan, saj je vrstni red ukazov v skupni rabi znatno ohranjen, čeprav lahko pride do razlik v njihovem indeksiranju," je pojasnil Kálnai v objavi na blogu.

Vendar se zdi, da je LightlessCan bistveno naprednejši od BoundlessCan. Novi trojanec med drugim omogoča izvajanje domačih Windows ukazov znotraj samega RAT-a.

"Ta pristop ponuja pomembno prednost v smislu prikritosti, tako pri izogibanju rešitvam za spremljanje v realnem času, kot je zaznavanje in odziv končne točke (EDR), kot posmrtnim digitalnim forenzičnim orodjem," je zapisal Kálnai.

Akter grožnje je tudi opremil LightlessCan na tak način, da je njegovo šifrirano vsebino mogoče dešifrirati le z uporabo ključa za dešifriranje, ki je specifičen za ogroženi stroj. Cilj je zagotoviti, da je dešifriranje koristnega tovora možno le v ciljnih sistemih in ne v katerem koli drugem okolju, Kálnai je opozoril, kot je sistem, ki pripada varnostnemu raziskovalcu.