Erkennungsinhalt: MATA Multi-Plattform-Malware-Framework der Lazarus APT

Letzte Woche haben Forscher berichtet über das neueste berüchtigte Lazarus APT-Tool, das seit dem Frühjahr 2018 in den Angriffen der Gruppe verwendet wird. Ihr neues ‚Spielzeug‘ wurde MATA genannt, es handelt sich um ein modulares plattformübergreifendes Framework mit mehreren Komponenten, darunter ein Loader, Orchestrator und mehrere Plugins, die dazu verwendet werden können, Windows-, Linux- und macOS-Systeme zu infizieren. Die Lazarus-Gruppe nutzte MATA für die Ransomware-Bereitstellung und Datendiebstahl bei Angriffen auf Unternehmen in Polen, Deutschland, der Türkei, Korea, Japan und Indien.

Das MATA-Framework ist in der Lage, Plugins in den Speicher des angegriffenen Systems zu laden, um Befehle auszuführen, Dateien und Prozesse zu manipulieren, DLLs zu injizieren, HTTP-Proxys und Tunnels auf Windows-Geräten zu erstellen. Angreifer können die MATA-Plugins auch verwenden, um nach neuen Zielen auf macOS- und Linux-basierten Maschinen zu scannen, und Forscher entdeckten ein Modul, das zur Konfiguration von Proxy-Servern auf der macOS-Plattform verwendet werden kann.

Osman Demir veröffentlichte eine Community-Regel, die Sicherheitssystemen hilft, diese Bedrohung aufzudecken: https://tdm.socprime.com/tdm/info/4JJxStzvi2TO/dvrEj3MBPeJ4_8xcMrLp/?p=1

Die Regel hat Übersetzungen für die folgenden Plattformen:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio

EDR: Microsoft Defender ATP, Carbon Black, Elastic Endpoint

MITRE ATT&CK: 

Taktiken: Ausführung, Verteidigungsevasion

Techniken: Registrierung modifizieren (T1112), Windows-Verwaltungsinstrumentation (T1047)

Es ist erwähnenswert, dass Ende letzten Jahres auch Forscher von Qihoo 360 Netlab veröffentlichten Informationen über einige Modifikationen dieses Frameworks, das sie Dacls nannten. Der Inhalt für deren Erkennung wurde ebenfalls von den Teilnehmern des Threat Bounty Program entwickelt:

Dacls RAT (Lazarus’s Linux Malware) von Ariel Millahuel – https://tdm.socprime.com/tdm/info/5HeXUIKc6cVQ/YSA2VHEBjwDfaYjKFOtA/

APT38 – Lazarus Dacls RAT Win/Linux-Erkennungsregel von Emanuele De Lucia – https://tdm.socprime.com/tdm/info/w26Km1iVJtES/WgepHm8B1pWV9U6sGLzy/

Bereit, SOC Prime TDM auszuprobieren? Kostenlos anmelden. Oder dem Threat Bounty Program beitreten um eigene Inhalte zu erstellen und mit der TDM-Community zu teilen.