Μια νέα σειρά επιθέσεων της διαβόητης ομάδας Lazarus, οι οποίες στόχευαν οργανισμούς σε όλον τον κόσμο αποκάλυψε η Ομάδα Έρευνας και Ανάλυσης της Kaspersky (GReAT).
Η έρευνα που παρουσιάστηκε στο Security Analyst Summit (SAS), αποκάλυψε ακόμα ένα σύνολο απειλών τύπου APT, δηλαδή μια σειρά από κακόβουλα λογισμικά τα οποία και εξαπλώνονται μέσω επίσημων λογισμικών.
Η ομάδα GReAT εντόπισε μια σειρά από ψηφιακές επιθέσεις, οι οποίες πετυχαίναν τη μόλυνση στόχων μέσω νόμιμου λογισμικού. Το εν λόγω λογισμικό είναι σχεδιασμένο να κρυπτογραφεί διαδικτυακές συνομιλίες χρησιμοποιώντας ψηφιακά πιστοποιητικά. Πάρα το γεγονός ότι οι ευπάθειες του συστήματος είχαν ήδη επισημανθεί και διορθωθεί, η πλειονότητα των επιχειρήσεων παγκοσμίως χρησιμοποιούσαν την παλαιότερη έκδοση του λογισμικού, δίνοντας με αυτόν τον τρόπο εύκολη πρόσβαση στο Lazarus.
Οι τεχνικές της ομάδας Lazarus διέθεταν ένα υψηλό επίπεδο πολυπλοκότητας, χρησιμοποιώντας προηγμένα μέσα αποφυγής, καθώς δημιουργήσαν το κακόβουλο λογισμικό “SIGNBT” για τον έλεγχο του θύματος. Επίσης, χρησιμοποίησαν το ήδη γνωστό εργαλείο LPEClient, το οποίο κατά το παρελθόν είχε στοχεύσει οπλικά συστήματα, πυρηνικούς επιστήμονες αλλά και τον τομέα των κρυπτονομισμάτων. Αυτό το κακόβουλο λογισμικό υπηρετεί έναν πολύ σημαντικό ρόλο αφού λειτουργεί ως το πρώτο σημείο μόλυνσης, ενώ παράλληλα διαμορφώνει το εκάστοτε προφίλ του θύματος κατά τη διάρκεια της επίθεσης. Επομένως, οι ερευνητές της Kaspersky συμπέραναν πως ο ρόλος του LPEClient σε αυτή και σε άλλες επιθέσεις ευθυγραμμίζεται με τις τακτικές που χρησιμοποιεί η ομάδα Lazarus, όπως παρατηρήθηκε και στη διαβόητη επίθεση στην αλυσίδα εφοδιασμού 3CX.
Περαιτέρω έρευνα αποκάλυψε ότι το κακόβουλο λογισμικό Lazarus είχε ήδη στοχεύσει το αρχικό θύμα, έναν προμηθευτή λογισμικού, αρκετές φορές στο παρελθόν. Αυτό το μοτίβο επαναλαμβανόμενων επιθέσεων καταδεικνύει έναν κακόβουλο αλλά αποφασισμένο φορέα απειλής, ο οποίος πιθανότατα έχει σκοπό να υποκλέψει ακολουθίες κώδικα ή να εμποδίσει την αλυσίδα εφοδιασμού. Ο φορέας της απειλής εκμεταλλευόταν όλες τις αδυναμίες στα λειτουργικά συστήματα των επιχειρήσεων. Παράλληλα, ο φορέας απειλής είχε επικεντρωθεί σε επιχειρήσεις οι οποίες χρησιμοποιούσαν παλαιότερες εκδόσεις του λογισμικού, διευρύνοντας έτσι το φάσμα της απειλής του. Η λύση Endpoint Security της Kaspersky εντόπισε την απειλή εκ προοιμίου, αποτρέποντας και άλλες επιθέσεις σε περαιτέρω στόχους.
«Η συνεχιζόμενη δραστηριότητα της ομάδας Lazarus αποτελεί απόδειξη των προηγμένων ικανοτήτων και του ακλόνητου κινήτρου της. Δραστηριοποιούνται σε παγκόσμια κλίμακα, στοχεύοντας σε ένα ευρύ φάσμα δραστηριοτήτων με ποικίλες μεθόδους. Αυτό σηματοδοτεί μια συνεχιζόμενη και εξελισσόμενη απειλή που απαιτεί αυξημένη επαγρύπνηση», δήλωσε ο Seongsu Park, επικεφαλής ερευνητής ασφάλειας στην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky.
Για να αποφύγετε να πέσετε θύμα στοχευμένης επίθεσης, οι ερευνητές της Kaspersky συνιστούν την εφαρμογή των ακόλουθων μέτρων:
- Ενημερώνετε τακτικά το λειτουργικό σας σύστημα, τις εφαρμογές και το λογισμικό προστασίας από ιούς για να επιδιορθώνετε τυχόν γνωστές ευπάθειες του συστήματος.
- Να είστε προσεκτικοί με email, μηνύματα ή κλήσεις που ζητούν ευαίσθητες πληροφορίες. Επαληθεύστε την ταυτότητα του αποστολέα προτού μοιραστείτε οποιαδήποτε προσωπική πληροφορία ή κάνετε κλικ σε ύποπτους συνδέσμους.
- Παρέχετε στην ομάδα σας πρόσβαση στα νέα δεδομένα σχετικά με το threat intelligence (TI).
- Εκπαιδεύστε την ΙΤ ομάδα της επιχείρησης σας, με το Kaspersky online training που αναπτύχθηκε από ειδικούς της GReAT.
- Για τον εντοπισμό, τη διερεύνηση και την έγκαιρη αποκατάσταση περιστατικών σε επίπεδο τερματικού σημείου, εφαρμόστε λύσεις EDR.
