logo

Nové aktivity APT skupiny Lazarus

Analytici společnosti ESET objevili nový útok malwaru Wslink, který byl detekován i v České republice. Je využíván pro kyberšpionáž a podle všech dostupných informací za ním stojí kyberkriminální APT skupina Lazarus, která má vazby na režim v Severní Koreji.

Útočníci pomocí škodlivého kódu mají možnost vniknout do vnitřní sítě napadené organizace skrze útočníkem vytvořená zadní vrátka - tuto roli hraje v námi popsaném útoku jeden z modulů programu Wslink - backdoor WinorDLL64. Malware pak může získat v podstatě libovolné informace, které mohou útočníci následně zpeněžit, nebo využít takto získaná data pro špionáž.

Objevený backdoor dokáže exfiltrovat, přepisovat a odstraňovat soubory, spouštět příkazy a získávat rozsáhlé informace o systému.

"Technicky přesně lze detekovaný útok popsat následovně - Wslink, který obsahuje soubor s názvem WinorLoaderDLL64.dll, je loader binárních souborů systému Windows, který funguje jako server a spouští přijaté moduly v paměti. Jedná se tak o univerzální jádro čekající na napadeném zařízení na dodání dalšího škodlivého kódu, který pak provede konkrétní, závadnou akci, tedy vpuštění vlastního malwaru do již napadeného systému. Díky své modularitě a schopnosti stáhnout a zavést další modul může být později využíván také k dalším krokům. Wslink naslouchá na portu uvedeném v konfiguraci a může obsluhovat další připojující se klienty a načítat další škodlivé kódy. Tyto útoky jsou velmi pokročilé a nákladné na přípravu, obvykle jsou tak vedeny skupinami, které jsou napojeny na státní aktéry. To, že jsme útok detekovali také v České republice, jasně vypovídá o tom, že ani pokročilé hrozby se Česku nevyhýbají," říká Vladislav Hrčka, výzkumný analytik společnosti ESET, který aktuální útok objevil.

WinorDLL64 se svou podobou i chováním překrývá s několika vzorky skupiny Lazarus, což naznačuje, že by mohlo jít o nástroj z rozsáhlého arzenálu této severokorejské APT skupiny.

Původně neznámý DLL modul WinorDLL64 byl na bezpečnostní web VirusTotal nahrán z Jižní Koreje, krátce po zveřejnění příspěvku na blogu společnosti ESET, a tím odhalil, jaké moduly malware Wslink stahuje a spouští.

Telemetrie společnosti ESET zaznamenala pouze několik detekcí loaderu Wslink v Severní Americe, na Blízkém východě a ve střední Evropě, a to včetně České republiky.

Společnost AhnLab ve své telemetrii také potvrdila oběti z Jižní Koreje, což je relevantní ukazatel vzhledem k tradičním cílům skupiny Lazarus a k tomu, že společnost ESET zaznamenala pouze několik detekcí.

Škodlivý kód ze Severní Koreje

Útoky APT skupin se vyznačují vysokou specializací a jejich kód bývá zpravidla jedinečný. Jejich cílem jsou konkrétní instituce a organizace, často ve spojitosti s kritickou infrastrukturou. APT neboli Advance Persistent Threat (pokročilá přetrvávající hrozba) je označení pro různými státy sponzorované kybernetické útočníky, kteří se pokročilými technikami snaží získat data konkrétních cílů za účelem kyberšpionáže.

Hlavní cílový region útoku, samotný kód i jeho chování naznačují, že nástroj používá nechvalně známá APT skupina Lazarus, která je napojená na Severní Koreu. Skupina je aktivní nejméně od roku 2009. Má na svědomí známé incidenty, jako je např. útok na společnost Sony Pictures Entertainment, kybernetické loupeže za desítky milionů dolarů v roce 2016, masivní rozšíření ransmowaru WannaCryptor (alias WannaCry) v roce 2017 a dlouhou historii útoků narušujících jihokorejskou veřejnou a kritickou infrastrukturu, a to nejméně od roku 2011.

Americké organizace US-CERT a FBI tuto skupinu nazývají HIDDEN COBRA.

Další články k tématům - APT - backdoor - kyberbezpečnost - kyberšpionáž - Lazarus - malware - Wslink - Vladislav Hrčka

Článek ze dne 27. února 2023 - pondělí

Další články od ESET software spol. s r. o.

Nová verze ESET Cyber Security pro macOS

IDC oceňuje ESET za moderní ochranu koncových zařízení

Nové aktivity APT skupiny Lazarus

Špionážní kampaň APT skupiny StrongPity cílí na uživatele platformy Android

Pozor na podvodný spam v chatovací aplikaci Messenger

Phishing v Česku jako nový typ stálé hrozby

Shrnutí vývoje kybernetických hrozeb v roce 2022

Ukrajina je stále hlavním cílem APT skupin napojených na Rusko

Vnímání kybernetických hrozeb u malých a středních firem

ESET Threat Report T2 2022 mapuje globální vývoj kybernetických hrozeb

Češi často sdílí přihlašovací údaje pro více služeb

Lepší ochrana před ransomwarem a zabezpečení online plateb pro domácí uživatele

Špionážní malware zneužívá populární cloudové služby

Jiří Bracek v čele českého týmu pro výzkum a vývoj ESET Research

ESET slaví 30 let nepřetržitých inovací v oblasti IT bezpečnosti

Bezpečnostní produkty ESET za zvýhodněnou cenu

Nový malware typu backdoor pro platformu macOS

Globální finanční výsledky ESET za rok 2021

Vývoj kybernetických hrozeb v souvislosti s válkou na Ukrajině

Nové produkty kybernetické bezpečnosti pro ISP a Telco operátory

Globální útok ATP skupiny Lazarus na letecké a obranné společnosti

Globální iniciativa ESET Heroes of Progress hledá hrdiny pokroku a vizionáře

Pozor na inzertní podvody na internetových bazarech

Tým z ESET Research na kybernetickém cvičení NATO

Platforma ESET PROTECT pomáhá se správou kybernetické bezpečnosti firmy

Ransomware WannaCry stále představuje riziko pro kritickou infrastrukturu

Nové investice do technologické divize ESET Research v České republice

Aktualizace produktů platformy ESET PROTECT pro firemní zákazníky

Kybernetický útok na energetickou infrastrukturu Ukrajiny

ESET produkty pro domácí uživatele s Windows chrání zařízení s ARM procesory

Destruktivní malware CaddyWiper cílí na finanční instituce Ukrajiny

Integrace Intel technologií detekce ransomwaru do ESET produktů

Ukončení prodeje ESET produktů v Rusku a Bělorusku

Stav kybernetických hrozeb na Ukrajině

Malware HermeticWiper použitý na Ukrajině cílí na uživatelská data a firemní sítě

Informace k aktuálním útokům na servery MS Exchange

ESET úspěšně rozvíjí svůj MSP distribuční kanál

Skupina kyberzločinců ALPHV ochromila kritickou infrastrukturu v Německu

Analýza ranitelnosti ovladačů jádra Windows

Predikce kybernetických hrozeb v roce 2022 v Česku

Rok 2021 byl ve znamení kybernetických útoků na uživatelská hesla a přihlašovací údaje

Zranitelnost knihovny Log4j

Vývoj globálních kybernetických hrozeb

Útočné kampaně s technikou Watering hole cílí na zpravodajské weby evropských médií

Ochrana před ransomware v reálném čase

SMS phishing cílí na české uživatele iPhone

Velkou roli hrají v komunikaci mezi studenty sociální sítě

Bootkit ESPecter upravuje modul Windows Boot Manager

Pravděpodobná kyberšpionáž nově odhalené skupiny FamousSparrow

Kybertest si vyzkoušelo 100 tisíc Čechů