Лазарус використовує південнокорейське програмне забезпечення безпеки для доставки постквантового зашифрованого зловмисного ПЗ

Резюме

Підрозділ Lazarus, пов’язаний з Північною Кореєю, здійснює кібер-шпигунську кампанію, що відстежується як Operation FlashHole. Група використовує вразливості у широко вживаному південнокорейському фінансовому програмному забезпеченні для безпеки, щоб розгорнути розвинуту платформу шкідливого ПЗ. Остання версія кампанії впроваджує постквантові криптографічні алгоритми для захисту каналів зв’язку командування та контролю.

Розслідування

Дослідження від Kaspersky та AhnLab виявило складний ланцюжок зараження, що включає завантаження DLL і зловживання легітимними системними бінарними файлами, такими як fsquirt.exe. Аналітики пов’язали кампанію з попередніми операціями, включаючи SyncHole, та задокументували чітку еволюцію ускладненості шкідливого ПЗ. Розслідування також виявило використання GitHub Pages для розміщення шкідливого контенту та удосконалених інструментів, таких як TechHub і Cubridge.

Захист

Організації повинні пріоритетно виправляти фінансове програмне забезпечення для безпеки, включаючи INISAFE CrossWeb EX та AnySign4PC. Впровадження строгого контролю проти завантаження сторонніх DLL і моніторинг незвичайних відносин між процесами типу батько-дитина, таких як запуск безпекового ПЗ fsquirt.exe, є критичним. Захисники повинні також відстежувати несподівані з’єднання з API GitHub або Dropbox з незвичайних процесів, щоб ідентифікувати потенційну активність C2.

Відповідь

При виявленні шкідливої активності ізолювати постраждалі хости, щоб запобігти латеральному переміщенню через рішення передачі файлів. Проведіть форензіку пам’яті, щоб ідентифікувати шкідливі DLL, які виконуються в пам’яті, і перевірте системи на неавторизовані зміни файлів. Перегляньте телеметрію мережі на наявність підозрілих зашифрованих комунікацій і розслідуйте потенційні спроби ексфільтрації даних на відомі даркнет-сайти витоків, такі як ULOSE.

Виконання симуляції

• Опис атаки та команди: Супротивник має намір розгорнути завантажувач TechHub для встановлення з’єднання з віддаленим репозиторієм на GitHub для завантаження наступного етапу завантаження. Щоб уникнути виявлення, вони використовують бінара TechHub.exe зі спеціальною URL-адресою. Надалі вони використовують установник TouchHub.exe , передаючи параметр TOUCHSHIFT , щоб запустити установку шкідливих компонентів. Це імітує конкретні індикатори компрометації (IoCs), що використовуються групою Lazarus.

• Сценарій регресійного тесту:

  # Сценарій симуляції для виявлення TechHub/TouchHub групи Lazarus
  # Цей сценарій створює тестові файли для імітації наявності бінарних файлів шкідливого ПЗ.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # Створити тестові виконувані файли
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] Імітується активність TechHub..." -ForegroundColor Cyan
  # Це має запустити 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] Імітується активність TouchHub..." -ForegroundColor Cyan
  # Це має запустити 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] Симуляція завершена. Перевірте SIEM на наявність оповіщень." -ForegroundColor Green

• Команди очищення:

  # Сценарій очищення, що видаляє імітовані файли
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] Очищення успішне: $TempDir видалено." -ForegroundColor Green
  } else {
      Write-Host "[!] Очищення не вдалося: Каталог не знайдено." -ForegroundColor Red
  }