Nové aktivity APT skupiny Lazarus

Analytici společnosti ESET objevili nový útok malwaru Wslink, který byl detekován i v České republice. Je využíván pro kyberšpionáž a podle všech dostupných informací za ním stojí kyberkriminální APT skupina Lazarus, která má vazby na režim v Severní Koreji.

Útočníci pomocí škodlivého kódu mají možnost vniknout do vnitřní sítě napadené organizace skrze útočníkem vytvořená zadní vrátka - tuto roli hraje v námi popsaném útoku jeden z modulů programu Wslink - backdoor WinorDLL64. Malware pak může získat v podstatě libovolné informace, které mohou útočníci následně zpeněžit, nebo využít takto získaná data pro špionáž.

Objevený backdoor dokáže exfiltrovat, přepisovat a odstraňovat soubory, spouštět příkazy a získávat rozsáhlé informace o systému.

"Technicky přesně lze detekovaný útok popsat následovně - Wslink, který obsahuje soubor s názvem WinorLoaderDLL64.dll, je loader binárních souborů systému Windows, který funguje jako server a spouští přijaté moduly v paměti. Jedná se tak o univerzální jádro čekající na napadeném zařízení na dodání dalšího škodlivého kódu, který pak provede konkrétní, závadnou akci, tedy vpuštění vlastního malwaru do již napadeného systému. Díky své modularitě a schopnosti stáhnout a zavést další modul může být později využíván také k dalším krokům. Wslink naslouchá na portu uvedeném v konfiguraci a může obsluhovat další připojující se klienty a načítat další škodlivé kódy. Tyto útoky jsou velmi pokročilé a nákladné na přípravu, obvykle jsou tak vedeny skupinami, které jsou napojeny na státní aktéry. To, že jsme útok detekovali také v České republice, jasně vypovídá o tom, že ani pokročilé hrozby se Česku nevyhýbají," říká Vladislav Hrčka, výzkumný analytik společnosti ESET, který aktuální útok objevil.

WinorDLL64 se svou podobou i chováním překrývá s několika vzorky skupiny Lazarus, což naznačuje, že by mohlo jít o nástroj z rozsáhlého arzenálu této severokorejské APT skupiny.

Původně neznámý DLL modul WinorDLL64 byl na bezpečnostní web VirusTotal nahrán z Jižní Koreje, krátce po zveřejnění příspěvku na blogu společnosti ESET, a tím odhalil, jaké moduly malware Wslink stahuje a spouští.

Telemetrie společnosti ESET zaznamenala pouze několik detekcí loaderu Wslink v Severní Americe, na Blízkém východě a ve střední Evropě, a to včetně České republiky.

Společnost AhnLab ve své telemetrii také potvrdila oběti z Jižní Koreje, což je relevantní ukazatel vzhledem k tradičním cílům skupiny Lazarus a k tomu, že společnost ESET zaznamenala pouze několik detekcí.

Škodlivý kód ze Severní Koreje

Útoky APT skupin se vyznačují vysokou specializací a jejich kód bývá zpravidla jedinečný. Jejich cílem jsou konkrétní instituce a organizace, často ve spojitosti s kritickou infrastrukturou. APT neboli Advance Persistent Threat (pokročilá přetrvávající hrozba) je označení pro různými státy sponzorované kybernetické útočníky, kteří se pokročilými technikami snaží získat data konkrétních cílů za účelem kyberšpionáže.

Hlavní cílový region útoku, samotný kód i jeho chování naznačují, že nástroj používá nechvalně známá APT skupina Lazarus, která je napojená na Severní Koreu. Skupina je aktivní nejméně od roku 2009. Má na svědomí známé incidenty, jako je např. útok na společnost Sony Pictures Entertainment, kybernetické loupeže za desítky milionů dolarů v roce 2016, masivní rozšíření ransmowaru WannaCryptor (alias WannaCry) v roce 2017 a dlouhou historii útoků narušujících jihokorejskou veřejnou a kritickou infrastrukturu, a to nejméně od roku 2011.

Americké organizace US-CERT a FBI tuto skupinu nazývají HIDDEN COBRA.