Οι Lazarus hackers από τη Βόρεια Κορέα φαίνεται να βρίσκονται πίσω από μια νέα καμπάνια που έχει στοχεύσει έναν ανώνυμο προμηθευτή λογισμικού. Λέγεται ότι οι hackers χρησιμοποίησαν γνωστές ευπάθειες σε άλλο δημοφιλές λογισμικό για να παραβιάσουν την εταιρεία.
Σύμφωνα με την Kaspersky, οι ευπάθειες χρησιμοποιήθηκαν για την ανάπτυξη κακόβουλου λογισμικού όπως το SIGNBT και το LPEClient, ένα γνωστό εργαλείο hacking που χρησιμοποιείται για τη δημιουργία προφίλ των θυμάτων και την παράδοση extra malware.
“Οι επιτιθέμενοι επέδειξαν δεξιότητες υψηλής πολυπλοκότητας, χρησιμοποιώντας προηγμένες τεχνικές αποφυγής εντοπισμού και εισάγοντας το κακόβουλο λογισμικό SIGNBT για τον έλεγχο των θυμάτων“, δήλωσε ο ερευνητής ασφαλείας Seongsu Park. “Το κακόβουλο λογισμικό SIGNBT που χρησιμοποιήθηκε σε αυτήν την επίθεση χρησιμοποίησε μια διαφορετική αλυσίδα μόλυνσης και περίπλοκες τεχνικές“.
Δείτε επίσης: Οι hackers Lazarus στοχεύουν χρήστες με ψεύτικες συνεντεύξεις μέσω trojanized VNC apps
Η Kaspersky είπε ότι η εταιρεία που ανέπτυξε το παραβιασμένο λογισμικό, έπεσε θύμα επίθεσης των Lazarus hackers πολλές φορές, υποδεικνύοντας μια προσπάθεια κλοπής του source code ή “δηλητηρίασης” του software supply chain, όπως στην περίπτωση του 3CX supply chain attack.
Οι Lazarus hackers “συνέχισαν να εκμεταλλεύονται ευπάθειες στο λογισμικό της εταιρείας ενώ στοχεύουν άλλους κατασκευαστές λογισμικού“, πρόσθεσε ο Park.
Τα θύματα, σύμφωνα με την εταιρεία, στοχοποιήθηκαν μέσω ενός νόμιμου λογισμικού ασφαλείας, σχεδιασμένου να κρυπτογραφεί τις επικοινωνίες ιστού χρησιμοποιώντας ψηφιακά πιστοποιητικά. Το όνομα του λογισμικού δεν αποκαλύφθηκε και ο ακριβής μηχανισμός με τον οποίο χρησιμοποιήθηκε το λογισμικό για τη διανομή του SIGNBT παραμένει άγνωστος.
Εκτός από τη χρήση διαφόρων τακτικών για τη δημιουργία και τη διατήρηση persistence σε παραβιασμένα συστήματα, οι αλυσίδες επίθεσης χρησιμοποιούν έναν in-memory loader που λειτουργεί ως αγωγός για την εκκίνηση του κακόβουλου λογισμικού SIGNBT.
Η κύρια λειτουργία του SIGNBT είναι να δημιουργεί επαφή με έναν απομακρυσμένο διακομιστή και να ανακτά περαιτέρω εντολές για εκτέλεση στον μολυσμένο κεντρικό υπολογιστή.
Επίσης, το Windows backdoor διαθέτει διάφορες δυνατότητες για την άσκηση ελέγχου στο σύστημα του θύματος.
Δείτε επίσης: Οι Lazarus και Andariel hackers εκμεταλλεύονται TeamCity bug για παραβιάσεις δικτύων
Η Kaspersky είπε ότι εντόπισε τουλάχιστον τρεις διαφορετικές καμπάνιες των Lazarus hackers το 2023, χρησιμοποιώντας ποικίλους φορείς εισβολής και διαδικασίες μόλυνσης, αλλά βασιζόταν σταθερά στο κακόβουλο λογισμικό LPEClient για την παράδοση του κακόβουλου λογισμικού τελικού σταδίου.
Μια τέτοια καμπάνια άνοιξε τον δρόμο για ένα νέο κακόβουλο implant με την κωδική ονομασία Gopuram, που χρησιμοποιήθηκε σε επιθέσεις που στόχευσαν εταιρείες κρυπτονομισμάτων αξιοποιώντας μια trojanized έκδοση του λογισμικού τηλεδιάσκεψης 3CX.
Τα τελευταία ευρήματα είναι απλώς το πιο πρόσφατο παράδειγμα κυβερνοεπιχειρήσεων που συνδέονται με τη Βόρεια Κορέα. Ταυτόχρονα, αποτελούν απόδειξη του διαρκώς εξελισσόμενου οπλοστασίου εργαλείων, τακτικών και τεχνικών των Lazarus hackers.
“Η Ομάδα Lazarus παραμένει ένας εξαιρετικά δραστήριος και ευέλικτος παράγοντας απειλών στο σημερινό τοπίο της κυβερνοασφάλειας“, δήλωσε ο Park.
Δείτε επίσης: Οι Lazarus hackers χρησιμοποιούν το νέο LightlessCan malware
Επιθέσεις των Lazarus hackers και προστασία
Για να αποφευχθούν μελλοντικές επιθέσεις από την ομάδα Lazarus της Βόρειας Κορέας, μπορούν να ληφθούν διάφορα μέτρα ασφαλείας. Ένα από τα σημαντικότερα μέτρα είναι η ενημέρωση και η εφαρμογή των τελευταίων ενημερώσεων και διορθώσεων λογισμικού. Οι επιθέσεις της Lazarus Group εκμεταλλεύονται γνωστές ευπάθειες στο λογισμικό, οπότε η ενημέρωση των προγραμμάτων σε τακτική βάση μπορεί να μειώσει τον κίνδυνο επίθεσης.
Επιπλέον, η εκπαίδευση σε θέματα κυβερνοασφάλειας είναι ζωτικής σημασίας. Οι χρήστες πρέπει να είναι ενήμεροι για τις τελευταίες απειλές και τεχνικές που χρησιμοποιούνται από την ομάδα Lazarus, ώστε να μπορούν να αναγνωρίζουν ύποπτα μηνύματα ηλεκτρονικού ταχυδρομείου ή κακόβουλα αρχεία. Η εκπαίδευση των χρηστών μπορεί να γίνει μέσω ενημερωτικών εκστρατειών, σεμιναρίων ή εκπαιδευτικών προγραμμάτων.
Επιπλέον, η εφαρμογή αυστηρών πολιτικών ασφαλείας είναι απαραίτητη για την προστασία από επιθέσεις της Lazarus Group. Αυτές οι πολιτικές πρέπει να περιλαμβάνουν τη χρήση ισχυρών κωδικών πρόσβασης, την περιορισμένη πρόσβαση σε ευαίσθητα δεδομένα, την παρακολούθηση των δικτυακών δραστηριοτήτων και την ανίχνευση και αποκατάσταση ευπαθειών στο λογισμικό.
Τέλος, η συνεργασία με ειδικούς σε κυβερνοασφάλεια μπορεί να βοηθήσει στην πρόληψη μελλοντικών επιθέσεων από την ομάδα Lazarus. Οι ειδικοί μπορούν να παρέχουν συμβουλές και κατευθυντήριες γραμμές για την αναβάθμιση των συστημάτων ασφαλείας, την ανίχνευση και αποκατάσταση ευπαθειών και την ανάπτυξη αποτελεσματικών πολιτικών ασφαλείας.
Πηγή: thehackernews.com
