Σύμφωνα με αναφορές από τους ερευνητές ασφαλείας των SentinelOne, CrowdStrike και Mandiant, οι βορειοκορεάτες hackers Lazarus βρίσκονται πίσω από το πρόσφατο hack στην εταιρεία λογισμικού JumpCloud.
Σε μια έκθεση που δημοσιεύτηκε την Πέμπτη, ο Tom Hegel, ανώτερος ερευνητής της SentinelOne, συνέδεσε την ομάδα απειλών της Βόρειας Κορέας με την επίθεση στην JumpCloud, βασιζόμενος σε πολλαπλούς indicators of compromise, που μοιράστηκε η ίδια η εταιρεία σε μια πρόσφατη αναφορά.
Η εταιρεία κυβερνοασφάλειας CrowdStrike επισήμανε, επίσης, την Labyrinth Chollima (η δραστηριότητα της οποίας επικαλύπτεται με αυτή των Lazarus Group, ZINC και Black Artemis) ως την ομάδα που βρίσκεται πίσω από την παραβίαση. Η CrowdStrike είχε συνεργαστεί με τη JumpCloud για να βοηθήσει στην έρευνα.
Δείτε επίσης: GitHub: Οι Lazarus hackers στοχεύουν devs με κακόβουλα projects
“Ένας από τους πρωταρχικούς στόχους τους ήταν η δημιουργία εσόδων για το καθεστώς. Δεν νομίζω ότι αυτή θα είναι η τελευταία επίθεση που θα δούμε φέτος από τη Βόρεια Κορέα“, δήλωσε στο Reuters το στέλεχος της CrowdStrike, Adam Meyers.
Τέλος, και η Mandiant είπε ότι η επίθεση έγινε από βορειοκορεάτες hackers, που είναι γνωστοί για τη στόχευση οργανισμών crypto.
“Πρόκειται για έναν παράγοντα απειλής με οικονομικά κίνητρα που έχουμε δει να στοχεύει ολοένα και περισσότερο τη βιομηχανία κρυπτονομισμάτων και διάφορες πλατφόρμες blockchain“, είπε ο Austin Larsen της Mandiant.
Ο Larsen είπε επίσης ότι οι επιτιθέμενοι έχουν ήδη χτυπήσει ένα θύμα μετά την παραβίαση του JumpCloud, με την Mandiant να αναμένει ότι υπάρχουν άλλα θύματα αυτήν τη στιγμή που αντιμετωπίζουν τις συνέπειες της επίθεσης.
Οι Lazarus hackers δραστηριοποιούνται τουλάχιστον από το 2009 και είναι γνωστοί για επιθέσεις εναντίον στόχων υψηλού προφίλ παγκοσμίως. Στα θύματά τους περιλαμβάνονται τράπεζες, κυβερνητικές υπηρεσίες και οργανισμοί μέσων ενημέρωσης.
Δείτε επίσης: Οι Gamaredon hackers κλέβουν δεδομένα σε λιγότερο από μια ώρα μετά την παραβίαση
Η JumpCloud επιβεβαιώνει ότι το hack έγινε από hackers της Βόρειας Κορέας
Στις 27 Ιουνίου, η JumpCloud ανακάλυψε ένα περιστατικό κατά το οποίο “ένας εξελιγμένος παράγοντας απειλής που χορηγείται από έθνος-κράτος” παραβίασε τα συστήματά της μέσω μιας spear-phishing επίθεσης. Παρόλο που δεν υπήρχαν άμεσες ενδείξεις για τον αντίκτυπο της επίθεσης σε πελάτες, η JumpCloud έκανε προληπτικά rotate τα credentials και ανακατασκεύασε την παραβιασμένη υποδομή.
Κατά τη διάρκεια της έρευνας, στις 5 Ιουλίου, η JumpCloud εντόπισε “ασυνήθιστη δραστηριότητα στο commands framework για ένα μικρό σύνολο πελατών“. Σε συνεργασία με ειδικούς και τις αρχές επιβολής του νόμου, ανέλυσε επίσης αρχεία καταγραφής για ενδείξεις κακόβουλης δραστηριότητας και έκανε force-rotate όλα τα admin API keys.
Στις 12 Ιουλίου, η JumpCloud μοιράστηκε λεπτομέρειες για το περιστατικό και δημοσίευσε indicators of compromise (IOCs) για να βοηθήσει τους συνεργάτες να προστατεύσουν τα δίκτυά τους από επιθέσεις.
Αφού επιβεβαίωσε ότι μια hacking ομάδα από τη Βόρεια Κορέα βρίσκεται πίσω από την επίθεση, η εταιρεία είπε ακόμα ότι επηρεάστηκαν λιγότεροι από 5 πελάτες JumpCloud και λιγότερες από 10 συσκευές. Όλοι οι πελάτες που επηρεάζονται έχουν ειδοποιηθεί απευθείας.
Δείτε επίσης: Οι hackers APT29 δελεάζουν διπλωμάτες με διαφημίσεις αυτοκινήτων – Σε κίνδυνο και Έλληνες διπλωμάτες
“Μετά τον εντοπισμό του συμβάντος, λάβαμε αμέσως δράση για να μετριάσουμε την απειλή, να ασφαλίσουμε το δίκτυο, να επικοινωνήσουμε με τους πελάτες μας και να ενημερώσουμε τις αρχές επιβολής του νόμου“, δήλωσε στο TechCrunch η εκπρόσωπος του JumpCloud, Josie Judy.
Η JumpCloud είναι μια πολύ δημοφιλής εταιρεία λογισμικού και παρέχει υπηρεσίες σύνδεσης και ελέγχου ταυτότητας πολλαπλών παραγόντων σε περισσότερους από 180.000 οργανισμούς, σε περισσότερες από 160 χώρες. Όσον αφορά στην ομάδα Lazarus που πιθανότατα βρίσκεται πίσω από το hack στη JumpCloud, αντιπροσωπεύει μία από τις μεγαλύτερες απειλές για την ασφάλεια στον κυβερνοχώρο. Οι συγκεκριμένοι hackers έχουν στοχεύσει ένα ευρύ φάσμα οργανισμών και ατόμων με τις προηγμένες δυνατότητές τους στο hacking και συνεχίζουν να εξελίσσουν τις τακτικές τους. Αλλά ακολουθώντας καλές πρακτικές κυβερνοασφάλειας, μπορείτε να προστατεύσετε τον εαυτό σας και τον οργανισμό σας από τις επιθέσεις της Lazarus Group. Μείνετε σε εγρήγορση, μείνετε ενημερωμένοι και προετοιμαστείτε ώστε να ανταποκριθείτε γρήγορα σε περίπτωση επίθεσης.
Πηγή: www.bleepingcomputer.com
