Nhóm Lazarus bị phát hiện nhắm mục tiêu vào các kỹ sư hạt nhân bằng phần mềm độc hại CookiePlus
Nhóm Lazarus, một tác nhân đe dọa khét tiếng có liên hệ với Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK), đã bị phát hiện đang tận dụng "chuỗi lây nhiễm phức tạp" nhắm vào ít nhất hai nhân viên thuộc một tổ chức liên quan đến hạt nhân chưa được nêu tên trong khoảng thời gian một tháng vào tháng 1 năm 2024.
Các cuộc tấn công, lên đến đỉnh điểm là việc triển khai một cửa hậu mô-đun mới được gọi là CookiePlus , là một phần của chiến dịch gián điệp mạng kéo dài được gọi là Operation Dream Job, cũng được công ty an ninh mạng Kaspersky theo dõi là NukeSped . Nó được biết là đã hoạt động ít nhất từ năm 2020, khi bị ClearSky vạch trần .
Những hoạt động này thường nhắm vào các nhà phát triển và nhân viên trong nhiều công ty khác nhau, bao gồm quốc phòng, hàng không vũ trụ, tiền điện tử và các lĩnh vực toàn cầu khác, với các cơ hội việc làm hấp dẫn nhưng cuối cùng lại dẫn đến việc triển khai phần mềm độc hại trên máy tính của họ.
"Lazarus muốn thực hiện các cuộc tấn công chuỗi cung ứng như một phần của chiến dịch DeathNote, nhưng chủ yếu chỉ giới hạn ở hai phương pháp: phương pháp đầu tiên là gửi một tài liệu độc hại hoặc trình xem PDF bị nhiễm trojan hiển thị mô tả công việc cụ thể cho mục tiêu", công ty Nga cho biết trong một phân tích đầy đủ.
"Cách thứ hai là phân phối các công cụ truy cập từ xa đã bị nhiễm trojan như VNC hoặc PuTTY để thuyết phục mục tiêu kết nối với một máy chủ cụ thể để đánh giá kỹ năng."
Bộ tấn công mới nhất được Kaspersky ghi nhận liên quan đến phương pháp thứ hai, trong đó kẻ tấn công sử dụng chuỗi lây nhiễm được cải tiến hoàn toàn để cung cấp tiện ích VNC bị nhiễm trojan với lý do tiến hành đánh giá kỹ năng cho các vị trí CNTT tại các công ty hàng không vũ trụ và quốc phòng lớn.
Điều đáng chú ý là việc Lazarus Group sử dụng các phiên bản ứng dụng VNC độc hại để nhắm vào các kỹ sư hạt nhân đã từng được công ty nêu bật vào tháng 10 năm 2023 trong báo cáo xu hướng APT quý 3 năm 2023.
"Lazarus đã chuyển giao tệp lưu trữ đầu tiên cho ít nhất hai người trong cùng một tổ chức (chúng tôi sẽ gọi họ là Host A và Host B)", các nhà nghiên cứu Vasily Berdnikov và Sojun Ryu cho biết. "Sau một tháng, họ đã cố gắng tấn công mạnh hơn vào mục tiêu đầu tiên".
Các ứng dụng VNC, một phiên bản trojan hóa của TightVNC có tên là "AmazonVNC.exe", được cho là đã được phân phối dưới dạng cả hình ảnh ISO và tệp ZIP. Trong các trường hợp khác, một phiên bản hợp pháp của UltraVNC đã được sử dụng để tải một DLL độc hại được đóng gói trong tệp ZIP.
DLL ("vnclang.dll") đóng vai trò là trình tải cho một cửa hậu có tên là MISTPEN , được Mandiant thuộc sở hữu của Google phát hiện vào tháng 9 năm 2024. Nó đang theo dõi cụm hoạt động dưới biệt danh UNC2970. Về phần mình, MISTPEN đã được phát hiện cung cấp hai tải trọng bổ sung có tên mã là RollMid và một biến thể mới của LPEClient.
Kaspersky cho biết họ cũng quan sát thấy phần mềm độc hại CookieTime được triển khai trên Host A, mặc dù phương pháp chính xác được sử dụng để tạo điều kiện cho nó vẫn chưa được biết. Lần đầu tiên được công ty phát hiện vào tháng 9 và tháng 11 năm 2020, CookieTime được đặt tên như vậy vì sử dụng các giá trị cookie được mã hóa trong các yêu cầu HTTP để lấy hướng dẫn từ máy chủ chỉ huy và kiểm soát (C2).
Cuộc điều tra sâu hơn về chuỗi tấn công đã tiết lộ rằng tác nhân đe dọa đã di chuyển ngang từ Máy chủ A sang một máy khác (Máy chủ C), nơi CookieTime một lần nữa được sử dụng để thả nhiều tải trọng khác nhau từ tháng 2 đến tháng 6 năm 2024, chẳng hạn như sau -
- LPEClient, một phần mềm độc hại được trang bị khả năng lập hồ sơ các máy chủ bị xâm phạm
- ServiceChanger, một phần mềm độc hại dừng một dịch vụ hợp pháp được nhắm mục tiêu để tải một DLL độc hại được nhúng bên trong nó bằng cách sử dụng tệp thực thi thông qua tải DLL bên
- Charamel Loader, một phần mềm độc hại tải giải mã và tải các tài nguyên nội bộ như CookieTime, CookiePlus và ForestTiger
- CookiePlus, một chương trình độc hại dựa trên plugin mới được tải bởi cả ServiceChanger và Charamel Loader
"Sự khác biệt giữa mỗi CookiePlus được Charamel Loader và ServiceChanger tải là cách nó được thực thi. CookiePlus chạy như một DLL riêng và bao gồm thông tin C2 trong phần tài nguyên của nó", các nhà nghiên cứu chỉ ra.
"Phần sau sẽ lấy những gì được lưu trữ trong một tệp bên ngoài riêng biệt như msado.inc, nghĩa là CookiePlus có khả năng lấy danh sách C2 từ cả tài nguyên bên trong và tệp bên ngoài. Ngoài ra, hành vi sẽ giống nhau."
CookiePlus có tên như vậy là do nó được ngụy trang thành một plugin Notepad++ mã nguồn mở có tên là ComparePlus khi lần đầu tiên được phát hiện trong tự nhiên. Trong các cuộc tấn công nhắm vào thực thể liên quan đến hạt nhân, nó được phát hiện dựa trên một dự án khác có tên là DirectX-Wrappers .
Phần mềm độc hại đóng vai trò là trình tải xuống để lấy một tải trọng được mã hóa Base64, RSA từ máy chủ C2, sau đó được giải mã và giải mã để thực thi ba mã shellcode khác nhau hoặc một DLL. Các mã shellcode được trang bị các tính năng để thu thập thông tin hệ thống và khiến mô-đun CookiePlus chính ngủ trong một số phút nhất định.
Người ta nghi ngờ rằng CookiePlus là phiên bản kế nhiệm của MISTPEN do có sự trùng lặp về hành vi giữa hai nhóm phần mềm độc hại này, bao gồm cả khía cạnh cả hai đều ngụy trang thành plugin Notepad++.
"Trong suốt lịch sử của mình, nhóm Lazarus chỉ sử dụng một số ít các khuôn khổ phần mềm độc hại mô-đun như Mata và Gopuram Loader ", Kaspersky cho biết. "Việc chúng giới thiệu phần mềm độc hại mô-đun mới, chẳng hạn như CookiePlus, cho thấy nhóm này liên tục làm việc để cải thiện kho vũ khí và chuỗi lây nhiễm của chúng để tránh bị các sản phẩm bảo mật phát hiện".
Những phát hiện này được đưa ra khi công ty tình báo blockchain Chainalysis tiết lộ rằng các tác nhân đe dọa có liên quan đến Triều Tiên đã đánh cắp 1,34 tỷ đô la qua 47 vụ hack tiền điện tử vào năm 2024, tăng từ 660,50 triệu đô la vào năm 2023. Bao gồm vụ vi phạm vào tháng 5 năm 2024 của sàn giao dịch tiền điện tử Nhật Bản, DMM Bitcoin, nơi đã chịu khoản lỗ 305 triệu đô la vào thời điểm đó.
"Thật không may, có vẻ như các cuộc tấn công tiền điện tử của CHDCND Triều Tiên đang diễn ra thường xuyên hơn", công ty cho biết . "Đáng chú ý là các cuộc tấn công từ 50 đến 100 triệu đô la và các cuộc tấn công trên 100 triệu đô la xảy ra thường xuyên hơn nhiều vào năm 2024 so với năm 2023, cho thấy CHDCND Triều Tiên đang trở nên giỏi hơn và nhanh hơn trong các cuộc khai thác lớn".