Lázaro usa software de seguridad surcoreano para entregar malware cifrado con post-cuántica

Resumen

El grupo Lazarus, vinculado a Corea del Norte, está llevando a cabo una campaña de ciberespionaje conocida como Operación FlashHole. El grupo explota vulnerabilidades en el software de seguridad financiera ampliamente utilizado en Corea del Sur para desplegar un marco de malware avanzado. Esta última iteración de la campaña introduce algoritmos criptográficos post-cuantum para proteger las comunicaciones de comando y control.

Investigación

La investigación de Kaspersky y AhnLab descubrió una cadena de infección compleja que involucra la carga lateral de DLL y el abuso de binarios del sistema legítimos como fsquirt.exe. Los analistas conectaron la campaña con operaciones anteriores, incluyendo SyncHole, y documentaron una clara evolución en la sofisticación del malware. La investigación también reveló el uso de GitHub Pages para el alojamiento de contenido malicioso y conjuntos de herramientas avanzadas como TechHub y Cubridge.

Mitigación

Las organizaciones deben priorizar la actualización de software de seguridad financiera, incluyendo INISAFE CrossWeb EX y AnySign4PC. Es crucial imponer controles estrictos contra la carga lateral de DLL y monitorear relaciones inusuales de procesos padre-hijo, como cuando el software de seguridad lanza fsquirt.exe. Los defensores también deben monitorear conexiones inesperadas a las APIs de GitHub o Dropbox desde procesos inusuales para identificar actividad potencial de C2.

Respuesta

Cuando se detecte actividad maliciosa, aísle los hosts afectados para evitar el movimiento lateral a través de soluciones de transferencia de archivos. Realice análisis de memoria para identificar DLLs maliciosas que se ejecuten en memoria e inspeccione los sistemas en busca de modificaciones no autorizadas de archivos. Revise la telemetría de red en busca de comunicaciones cifradas sospechosas e investigue posibles intentos de exfiltración de datos a sitios de filtraciones de la dark web, como ULOSE.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario pretende desplegar el descargador TechHub para establecer una conexión a un repositorio remoto en GitHub para obtener la siguiente fase de la carga útil. Para evitar la detección, utilizan el TechHub.exe binario con una URL específica. Posteriormente, utilizan el TouchHub.exe instalador, pasando el parámetro TOUCHSHIFT para desencadenar la instalación de componentes maliciosos. Esto simula los indicadores específicos de compromiso (IoCs) utilizados por el Grupo Lazarus.

• Script de Prueba de Regresión:

  # Script de Simulación para la Detección de TechHub/TouchHub del Grupo Lazarus
  # Este script crea archivos ficticios para simular la presencia de los binarios de malware.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Crear ejecutables ficticios
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Simulando actividad de TechHub..." -ForegroundColor Cyan
  # Esto debería activar 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Simulando actividad de TouchHub..." -ForegroundColor Cyan
  # Esto debería activar 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Simulación completa. Comprobar SIEM para alertas." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de Limpieza para eliminar archivos simulados
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Limpieza exitosa: $TempDir eliminado." -ForegroundColor Green
  } else {
      Write-Host "[!] Limpieza fallida: Directorio no encontrado." -ForegroundColor Red
  }