logo ESET software spol. s r. o.

Nové aktivity APT skupiny Lazarus

Analytici společnosti ESET objevili nový útok malwaru Wslink, který byl detekován i v České republice. Je využíván pro kyberšpionáž a podle všech dostupných informací za ním stojí kyberkriminální APT skupina Lazarus, která má vazby na režim v Severní Koreji.

Útočníci pomocí škodlivého kódu mají možnost vniknout do vnitřní sítě napadené organizace skrze útočníkem vytvořená zadní vrátka - tuto roli hraje v námi popsaném útoku jeden z modulů programu Wslink - backdoor WinorDLL64. Malware pak může získat v podstatě libovolné informace, které mohou útočníci následně zpeněžit, nebo využít takto získaná data pro špionáž.

Objevený backdoor dokáže exfiltrovat, přepisovat a odstraňovat soubory, spouštět příkazy a získávat rozsáhlé informace o systému.

"Technicky přesně lze detekovaný útok popsat následovně - Wslink, který obsahuje soubor s názvem WinorLoaderDLL64.dll, je loader binárních souborů systému Windows, který funguje jako server a spouští přijaté moduly v paměti. Jedná se tak o univerzální jádro čekající na napadeném zařízení na dodání dalšího škodlivého kódu, který pak provede konkrétní, závadnou akci, tedy vpuštění vlastního malwaru do již napadeného systému. Díky své modularitě a schopnosti stáhnout a zavést další modul může být později využíván také k dalším krokům. Wslink naslouchá na portu uvedeném v konfiguraci a může obsluhovat další připojující se klienty a načítat další škodlivé kódy. Tyto útoky jsou velmi pokročilé a nákladné na přípravu, obvykle jsou tak vedeny skupinami, které jsou napojeny na státní aktéry. To, že jsme útok detekovali také v České republice, jasně vypovídá o tom, že ani pokročilé hrozby se Česku nevyhýbají," říká Vladislav Hrčka, výzkumný analytik společnosti ESET, který aktuální útok objevil.

WinorDLL64 se svou podobou i chováním překrývá s několika vzorky skupiny Lazarus, což naznačuje, že by mohlo jít o nástroj z rozsáhlého arzenálu této severokorejské APT skupiny.

Původně neznámý DLL modul WinorDLL64 byl na bezpečnostní web VirusTotal nahrán z Jižní Koreje, krátce po zveřejnění příspěvku na blogu společnosti ESET, a tím odhalil, jaké moduly malware Wslink stahuje a spouští.

Telemetrie společnosti ESET zaznamenala pouze několik detekcí loaderu Wslink v Severní Americe, na Blízkém východě a ve střední Evropě, a to včetně České republiky.

Společnost AhnLab ve své telemetrii také potvrdila oběti z Jižní Koreje, což je relevantní ukazatel vzhledem k tradičním cílům skupiny Lazarus a k tomu, že společnost ESET zaznamenala pouze několik detekcí.

Škodlivý kód ze Severní Koreje

Útoky APT skupin se vyznačují vysokou specializací a jejich kód bývá zpravidla jedinečný. Jejich cílem jsou konkrétní instituce a organizace, často ve spojitosti s kritickou infrastrukturou. APT neboli Advance Persistent Threat (pokročilá přetrvávající hrozba) je označení pro různými státy sponzorované kybernetické útočníky, kteří se pokročilými technikami snaží získat data konkrétních cílů za účelem kyberšpionáže.

Hlavní cílový region útoku, samotný kód i jeho chování naznačují, že nástroj používá nechvalně známá APT skupina Lazarus, která je napojená na Severní Koreu. Skupina je aktivní nejméně od roku 2009. Má na svědomí známé incidenty, jako je např. útok na společnost Sony Pictures Entertainment, kybernetické loupeže za desítky milionů dolarů v roce 2016, masivní rozšíření ransmowaru WannaCryptor (alias WannaCry) v roce 2017 a dlouhou historii útoků narušujících jihokorejskou veřejnou a kritickou infrastrukturu, a to nejméně od roku 2011.

Americké organizace US-CERT a FBI tuto skupinu nazývají HIDDEN COBRA.

Další články k tématům - APT - backdoor - kyberbezpečnost - kyberšpionáž - Lazarus - malware - Wslink - Vladislav Hrčka

Článek ESET software spol. s r. o. ze dne pondělí 27. února 2023

Další články od ESET software spol. s r. o.

Organizovaná síť podvodníků cílí na ubytovací platformy

Kybernetická špionáž APT skupiny Gamaredon

Ransomware ScRansom cílí na zranitelnosti v systémech malých a středních firem

Malware NGate se stal součástí útoků na klienty českých bank

Nové phishingové útoky na klienty českých bank

ESET v Česku roste - firmy potvrzují zájem o řešení v cloudu a profesionální služby kybernetické bezpečnosti

Digitální doklady pohledem českých uživatelů

Přehled aktivit ATP útočných skupin

ESET na kybernetickém cvičení NATO

Nový bezpečnostní tým ESETu se cíleně zaměří na aktivity kyberkriminálních útočných skupin

ESET MDR posiluje kybernetickou bezpečnost malých a středních firem

Silné a bezpečné heslo je důležité pro vaši ochranu v kyberprostoru

Široká nabídka ESET řešení v oblasti zabezpečení koncových bodů

ESET a brazilská policie společně s v boji proti botnetové síti Grandoreiro

Shrnutí a vývoj kybernetických hrozeb podle expertů ESET

Přístup českých uživatelů k bezpečnosti při online nakupování

ESET sjednocuje kyberbezpečnostní řešení pro domácí uživatele

Aktuální zpráva ESET APT Activity

PR komunikaci českého ESETu vede Rita Gabrielová

David Března v čele nové divize ESET Corporate Solutions

Nenechte se okrást podvodníky na internetových bazarech

ESET Threat Report T1 2023 mapuje globální vývoj kybernetických hrozeb

ESET pokračuje v růstu - celkové tržby za rok 2022 přesáhly 14 miliard korun

Nová obchodní strategie ESET mění model licencování a posiluje cloudová řešení

Pokročilá firemní ochrana v cloudu je hlavním hybatelem růstu českého ESETu

Patch Management v platformě ESET PROTECT Cloud

Detekce a ochrana před ransomware na úrovni hardwaru

Jindřich Mičán - nový technický ředitel české pobočky ESET

Nová verze ESET Cyber Security pro macOS

IDC oceňuje ESET za moderní ochranu koncových zařízení

Nové aktivity APT skupiny Lazarus

Špionážní kampaň APT skupiny StrongPity cílí na uživatele platformy Android

Pozor na podvodný spam v chatovací aplikaci Messenger

Phishing v Česku jako nový typ stálé hrozby

Shrnutí vývoje kybernetických hrozeb v roce 2022

Ukrajina je stále hlavním cílem APT skupin napojených na Rusko

Vnímání kybernetických hrozeb u malých a středních firem

ESET Threat Report T2 2022 mapuje globální vývoj kybernetických hrozeb

Češi často sdílí přihlašovací údaje pro více služeb

Lepší ochrana před ransomwarem a zabezpečení online plateb pro domácí uživatele

Špionážní malware zneužívá populární cloudové služby

Jiří Bracek v čele českého týmu pro výzkum a vývoj ESET Research

ESET slaví 30 let nepřetržitých inovací v oblasti IT bezpečnosti

Bezpečnostní produkty ESET za zvýhodněnou cenu

Nový malware typu backdoor pro platformu macOS

Globální finanční výsledky ESET za rok 2021

Vývoj kybernetických hrozeb v souvislosti s válkou na Ukrajině

Nové produkty kybernetické bezpečnosti pro ISP a Telco operátory

Globální útok ATP skupiny Lazarus na letecké a obranné společnosti

Globální iniciativa ESET Heroes of Progress hledá hrdiny pokroku a vizionáře