Специалисты по информационной безопасности рассказали о выявлении новой кампании кибергруппы Andariel, которая входит в состав Lazarus. Это троянец удалённого доступа, который получил название EarlyRat. Andariel использует его наряду с шпионской программой DTrack и вымогателем Maui.
Первичное заражение происходит с помощью эксплойта Log4j. Анализируя один из случаев его использования, аналитики обнаружили версию троянца EarlyRat. В ходе исследования выяснилось, что зловред может попадать на устройство через уязвимость, найденную с помощью Log4j, либо через ссылки в фишинговых документах.
Эксперты смогли воссоздать процесс выполнения команд. Выяснилось, что их реализовывал оператор-человек, с большой степенью вероятности неопытный. Об этом свидетельствуют многочисленные ошибки и опечатки, например «Prorgam» вместо «Program».
Зловред EarlyRat, как и многие другие троянцы удалённого доступа (Remote Access Trojan, RAT), собирает системную информацию после активации и передает её на контрольно-командный сервер по определённому шаблону. Данные, которые он передаёт, включают в себя уникальные идентификаторы заражённых машин и запросы, которые шифруются с использованием этих идентификаторов.
Что касается функциональности, троянец EarlyRat отличается простотой и в основном ограничивается выполнением команд. Он имеет высокий уровень сходства с MagicRat — вредоносной программой, которая входит в арсенал Lazarus. В числе сходств — использование фреймворков (QT для MagicRat и PureBasic для EarlyRat) и ограниченная функциональность обоих троянцев.
Чтобы минимизировать риски целевых кибератак, специалисты рекомендуют компаниям:
- предоставить центру мониторинга безопасности (Security Operations Center, SOC) доступ к сервисам с актуальными данными о киберугрозах (Threat intelligence, TI);
- для выявления, расследования и своевременного устранения киберинцидентов на конечных точках использовать решения EDR;
- в дополнение к защите конечных точек внедрить на корпоративном уровне решение, которое сможет выявлять сложные угрозы на сетевом уровне на ранней стадии;
- поскольку многие целевые атаки начинаются с фишинга или других методов социальной инженерии, необходимо повышать цифровую грамотность сотрудников с помощью специальных тренингов.