Lazarus utilise des logiciels de sécurité sud-coréens pour délivrer un malware chiffré post-quantique

Résumé

Le groupe Lazarus, lié à la Corée du Nord, mène une campagne de cyberespionnage suivie sous le nom d’Opération FlashHole. Le groupe exploite des vulnérabilités dans un logiciel de sécurité financière sud-coréen largement utilisé pour déployer un cadre de logiciels malveillants avancé. Cette dernière itération de campagne introduit des algorithmes cryptographiques post-quantiques pour protéger les communications de commande et de contrôle.

Enquête

Des recherches menées par Kaspersky et AhnLab ont découvert une chaîne d’infection complexe impliquant le chargement latéral de DLL et l’abus de binaires système légitimes tels que fsquirt.exe. Les analystes ont lié la campagne à des opérations antérieures, y compris SyncHole, et ont documenté une évolution claire dans la sophistication des logiciels malveillants. L’enquête a également révélé l’utilisation de GitHub Pages pour l’hébergement de contenu malveillant et des ensembles d’outils avancés tels que TechHub et Cubridge.

Atténuation

Les organisations doivent prioriser la mise à jour des logiciels de sécurité financière, y compris INISAFE CrossWeb EX et AnySign4PC. Enforcer des contrôles stricts contre le chargement latéral de DLL et surveiller les relations inhabituelles parent-enfant des processus, comme la mise en route du logiciel de sécurité fsquirt.exe, est essentiel. Les défenseurs doivent également surveiller les connexions inattendues aux API de GitHub ou Dropbox à partir de processus inhabituels pour identifier l’activité potentielle de commande et de contrôle (C2).

Réponse

Lorsque des activités malveillantes sont détectées, isolez les hôtes affectés pour empêcher le mouvement latéral à travers les solutions de transfert de fichiers. Effectuez des analyses forensiques de la mémoire pour identifier les DLL malveillantes s’exécutant en mémoire et inspecter les systèmes pour les modifications de fichiers non autorisées. Examiner la télémétrie réseau pour les communications cryptées suspectes et enquêter sur les tentatives possibles d’exfiltration de données vers des sites de fuite du dark web connus tels que ULOSE.

Exécution de simulation

• Narratif d’attaque et commandes : L’adversaire a l’intention de déployer le téléchargeur TechHub pour établir une connexion à un dépôt distant sur GitHub afin de récupérer la prochaine étape du charge utile. Pour éviter la détection, ils utilisent le binaire TechHub.exe avec une URL spécifique. Ensuite, ils utilisent l’ installateur TouchHub.exe , passant le paramètre TOUCHSHIFT pour déclencher l’installation de composants malveillants. Cela simule les indicateurs spécifiques de compromission (IoCs) utilisés par le groupe Lazarus.

• Script de test de régression :

  # Script de simulation pour la détection de TechHub/TouchHub du groupe Lazarus
  # Ce script crée des fichiers fictifs pour simuler la présence des binaires de logiciels malveillants.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Créer des exécutables fictifs
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Simulation de l'activité de TechHub..." -ForegroundColor Cyan
  # Cela devrait déclencher 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Simulation de l'activité de TouchHub..." -ForegroundColor Cyan
  # Cela devrait déclencher 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Simulation terminée. Vérifiez les alertes dans le SIEM." -ForegroundColor Green

• Commandes de nettoyage :

  # Script de nettoyage pour supprimer les fichiers simulés
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Nettoyage réussi : $TempDir supprimé." -ForegroundColor Green
  } else {
      Write-Host "[!] Échec du nettoyage : répertoire non trouvé." -ForegroundColor Red
  }