Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Nuove campagne di Lazarus a tema Amazon utilizzano strumenti unici

Ott 03, 2022 Redazione news Attacchi, Malware, News, RSS 0

Finte offerte di lavoro in progetti di Amazon hanno dato a Lazarus un punto di ingresso per attacchi innovativi a un’azienda aerospaziale nei Paesi Bassi e un giornalista politico in Belgio

I ricercatori di ESET hanno scoperto e analizzato una serie di strumenti utilizzati dal famigerato gruppo Lazarus in attacchi avvenuti nell’autunno del 2021.

La campagna è iniziata con e-mail di spearphishing contenenti documenti malevoli legati a false offerte di lavoro in progetti di Amazon e ha preso di mira un dipendente di un’azienda aerospaziale nei Paesi Bassi e un giornalista politico in Belgio. L’obiettivo principale degli aggressori era l’esfiltrazione di dati.

L’APT Lazarus, legato al governo della Corea del Nord, è attivo almeno dal 2009 ed è stato responsabile di attacchi di alto profilo a livello internazionale e contro infrastrutture pubbliche e critiche della Corea del Sud.

I due attacchi del 2021 analizzati da ESET sono iniziati dopo l’apertura dei documenti con le finte offerte di lavoro. Ha portato allo scaricamento sui sistemi delle vittime di diversi strumenti malevoli, tra cui dropper, loader, backdoor, uploader e downloader.

Lo strumento più significativo è stato un modulo in modalità utente che ha acquisito la capacità di leggere e scrivere nella memoria del kernel grazie alla vulnerabilità CVE-2021-21551 in un driver Dell legittimo. La vulnerabilità riguarda i driver Dell DBUtil e l’azienda ha fornito un aggiornamento di sicurezza che lo risolve nel maggio 2021, dopo essere stata a conoscenza del bug per 12 anni.

Si tratta del primo abuso mai registrato di questa vulnerabilità. Lo strumento di Lazarus, in combinazione con il bug, disabilita il monitoraggio di tutte le soluzioni di sicurezza sulle macchine compromesse. Utilizza tecniche contro i meccanismi del kernel di Windows mai osservate prima nel malware.

In questa campagna Lazarus ha utilizzato anche la sua backdoor HTTP(S), BLINDINGCAN. Questo strumento supporta un’ampia serie di comandi (25) che includono azioni sui file, l’esecuzione di comandi, la configurazione della comunicazione con il server C2, la cattura di screenshot, la creazione e la terminazione di processi e l’esfiltrazione di informazioni di sistema.

Secondo ESET, “senza dubbio, il team dietro l’attacco è piuttosto grande, sistematicamente organizzato e ben preparato”. Ritengono inoltre che sia più facile limitare le possibilità di accesso iniziale che bloccare il robusto set di strumenti che viene installato dopo che gli aggressori hanno avuto accesso al sistema.

Condividi l'articolo