Эксперты по информационной безопасности обнаружили новую кампанию группы Lazarus, направленную на организации по всему миру. Для заражения использовалось легитимное ПО, предназначенное для шифрования веб-коммуникаций с помощью цифровых сертификатов. Результаты исследования были представлены на Security Analyst Summit в Таиланде.
Ранее эксперты уже предупреждали о уязвимостях, которые позволяли группе Lazarus совершать атаки. Однако многие организации продолжали пользоваться старой версией ПО, в которой они не были исправлены.
Для атаки злоумышленники применяли сложные методы, в частности продвинутые техники обхода защитных средств. Для контроля устройств жертв они использовали вредоносное ПО SIGNBT. Также атакующие эксплуатировали уже известный инструмент LPEClient — ранее он был задействован в целевых атаках на подрядчиков оборонных предприятий, ядерных инженеров и криптовалютный сектор. LPEClient — первая ступень в процессе заражения. Она играет ключевую роль в определении профиля жертвы и внедрения в систему других зловредов. То, как использовался инструмент LPEClient в этой и других атаках, указывает на методы группы Lazarus, полагают эксперты. Таким же образом злоумышленники действовали во время атаки на цепочку поставок на компанию ЗСХ.
Как показал дальнейший анализ, вредоносное ПО Lazarus уже несколько раз использовалось для атаки на первоначальную жертву — поставщика программного обеспечения. Такие повторяющиеся атаки указывают на то, что у злоумышленников есть чёткая цель — вероятно, получить критически важный исходный код или нарушить цепочку поставок ПО. Атакующие постоянно эксплуатировали уязвимости в программном обеспечении компаний и расширяли спектр мишеней, нацеливаясь на организации, использующие неисправленную версию ПО.
Продолжающиеся атаки Lazarus — свидетельство того, что злоумышленники обладают серьёзными техническими возможностями и сильной мотивацией. Они действуют по всему миру, целясь в разные организации из промышленного сектора, и используют для этого разнообразные методы. Угроза сохраняется и постоянно эволюционирует, что требует особой бдительности», — отмечает Сонгсу Парк, эксперт по кибербезопасности.
Чтобы защититься от целевых атак пециалисты по информационной безопасности рекомендуют компаниям:
- регулярно обновлять операционную систему, приложения и защитное ПО, чтобы своевременно устранять уязвимости;
- обучать сотрудников с осторожностью относиться к электронным письмам, сообщениям или звонкам, в которых просят сообщить конфиденциальную информацию; проверять личность отправителей перед тем, как передавать им свои данные или переходить по подозрительным ссылкам;
- использовать надёжное решение для защиты рабочих мест и бизнеса в целом;
- обеспечить доступ к базе данных об угрозах специалистам центра мониторинга безопасности (SOC);
- повышать уровень знаний команды в области кибербезопасности, в частности о новейших целевых угрозах. В этом помогут онлайн-тренинги;
- использовать EDR-решения для обнаружения угроз на конечных устройствах, расследования и своевременного восстановления после инцидентов.