Κυβερνοασφάλεια: Νέα εκστρατεία της ομάδας Lazarus που εκμεταλλεύεται νόμιμο λογισμικό

Η Ομάδα Έρευνας και Ανάλυσης της Kaspersky (GReAT) αποκάλυψε μια νέα σειρά επιθέσεων της διαβόητης ομάδας Lazarus, οι οποίες στόχευαν οργανισμούς σε όλον τον κόσμο.

Η έρευνα που παρουσιάστηκε στο Security Analyst Summit (SAS), αποκάλυψε ακόμα ένα σύνολο απειλών τύπου APT, δηλαδή μια σειρά από κακόβουλα λογισμικά τα οποία και εξαπλώνονται μέσω επίσημων λογισμικών.

Παγκόσμια εκστρατεία κυβερνοεπιθέσεων στοχεύει οργανισμούς

Η ομάδα GReAT εντόπισε μια σειρά από ψηφιακές επιθέσεις, οι οποίες πετυχαίναν τη μόλυνση στόχων μέσω νόμιμου λογισμικού. Το εν λόγω λογισμικό είναι σχεδιασμένο να κρυπτογραφεί διαδικτυακές συνομιλίες χρησιμοποιώντας ψηφιακά πιστοποιητικά.

Πάρα το γεγονός ότι οι ευπάθειες του συστήματος είχαν ήδη επισημανθεί και διορθωθεί, η πλειονότητα των επιχειρήσεων παγκοσμίως χρησιμοποιούσαν την παλαιότερη έκδοση του λογισμικού, δίνοντας με αυτόν τον τρόπο εύκολη πρόσβαση στο Lazarus.

Οι τεχνικές της ομάδας Lazarus διέθεταν ένα υψηλό επίπεδο πολυπλοκότητας, χρησιμοποιώντας προηγμένα μέσα αποφυγής, καθώς δημιουργήσαν το κακόβουλο λογισμικό «SIGNBT» για τον έλεγχο του θύματος. Επίσης, χρησιμοποίησαν το ήδη γνωστό εργαλείο LPEClient, το οποίο κατά το παρελθόν είχε στοχεύσει οπλικά συστήματα, πυρηνικούς επιστήμονες αλλά και τον τομέα των κρυπτονομισμάτων.

Αυτό το κακόβουλο λογισμικό υπηρετεί έναν πολύ σημαντικό ρόλο αφού λειτουργεί ως το πρώτο σημείο μόλυνσης, ενώ παράλληλα διαμορφώνει το εκάστοτε προφίλ του θύματος κατά τη διάρκεια της επίθεσης. Επομένως, οι ερευνητές της Kaspersky συμπέραναν πως ο ρόλος του LPEClient σε αυτή και σε άλλες επιθέσεις ευθυγραμμίζεται με τις τακτικές που χρησιμοποιεί η ομάδα Lazarus, όπως παρατηρήθηκε και στη διαβόητη επίθεση στην αλυσίδα εφοδιασμού 3CX.

Περαιτέρω έρευνα αποκάλυψε ότι το κακόβουλο λογισμικό Lazarus είχε ήδη στοχεύσει το αρχικό θύμα, έναν προμηθευτή λογισμικού, αρκετές φορές στο παρελθόν. Αυτό το μοτίβο επαναλαμβανόμενων επιθέσεων καταδεικνύει έναν κακόβουλο αλλά αποφασισμένο φορέα απειλής, ο οποίος πιθανότατα έχει σκοπό να υποκλέψει ακολουθίες κώδικα ή να εμποδίσει την αλυσίδα εφοδιασμού.

Ο φορέας της απειλής εκμεταλλευόταν όλες τις αδυναμίες στα λειτουργικά συστήματα των επιχειρήσεων. Παράλληλα, ο φορέας απειλής είχε επικεντρωθεί σε επιχειρήσεις οι οποίες χρησιμοποιούσαν παλαιότερες εκδόσεις του λογισμικού, διευρύνοντας έτσι το φάσμα της απειλής του.

«Η συνεχιζόμενη δραστηριότητα της ομάδας Lazarus αποτελεί απόδειξη των προηγμένων ικανοτήτων και του ακλόνητου κινήτρου της. Δραστηριοποιούνται σε παγκόσμια κλίμακα, στοχεύοντας σε ένα ευρύ φάσμα δραστηριοτήτων με ποικίλες μεθόδους. Αυτό σηματοδοτεί μια συνεχιζόμενη και εξελισσόμενη απειλή που απαιτεί αυξημένη επαγρύπνηση», δήλωσε ο Seongsu Park, επικεφαλής ερευνητής ασφάλειας στην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky.