Das nordkoreanische Hackerkollektiv Lazarus Group hat im Rahmen seiner Betrugsmaschen mit vorgetäuschten Beschäftigungsverhältnissen eine neue Art „ausgefeilter“ Schadsoftware eingesetzt. Forschern zufolge ist diese weitaus schwieriger zu erkennen als ihre Vorgänger.
Laut einem Beitrag von Peter Kálnai, dem leitenden Malware-Forscher bei ESET, vom 29. September entdeckten ESET-Forscher bei der Analyse eines kürzlich erfolgten Fake-Job-Angriffs auf ein in Spanien ansässiges Luft- und Raumfahrtunternehmen eine öffentlich nicht dokumentierte Hintertür namens LightlessCan.
#ESET-Forscher haben ihre Erkenntnisse zu einem Angriff der mit Nordkorea verbundenen #APT-Gruppe#Lazarusveröffentlicht, der auf ein Luft- und Raumfahrtunternehmen in Spanien abzielte. ▶️ Weitere Informationen finden Sie in einem #WeekinSecurity-Video mit @TonyAtESET. pic.twitter.com/M94J200VQx
– ESET (@ESET) 29. September 2023
Beim Fake-Job-Betrug der Lazarus Group werden die Opfer in der Regel mit einem potenziellen Stellenangebot bei einem bekannten Unternehmen getäuscht. Die Angreifer locken die Opfer dazu, eine als Dokumente getarnte Schadsoftware herunterzuladen, um allerlei Schaden anzurichten.
Kálnai sagt jedoch, dass die neue LightlessCan-Nutzlast im Vergleich zu ihrem Vorgänger BlindingCan eine „bedeutende Weiterentwicklung“ darstelle.
„LightlessCan ahmt die Funktionen einer breiten Palette nativer Windows-Befehle nach und ermöglicht eine diskrete Ausführung innerhalb des RAT selbst anstelle von lauten Konsolenausführungen.“
„Dieser Ansatz bietet einen erheblichen Vorteil in Bezug auf die Tarnung, sowohl beim Umgehen von Echtzeit-Überwachungslösungen wie EDRs als auch von digitalen forensischen Post-mortem-Tools“, sagte er.
️♂️ Vorsicht vor falschen LinkedIn-Recruitern! Erfahren Sie, wie die Lazarus-Gruppe ein spanisches Luft- und Raumfahrtunternehmen mithilfe einer trojanisierten Coding-Challenge ausnutzte. Tauchen Sie in unserem neuesten #WeLiveSecurity-Artikel in die Details ihrer Cyberspionage-Kampagne ein.#ESET#ProgressProtected
– ESET (@ESET) 29. September 2023
Die neue Nutzlast nutzt außerdem sogenannte „Ausführungsschutzplanken“ – sie stellen sicher, dass die Nutzlast nur auf der Maschine des beabsichtigten Opfers entschlüsselt werden kann, wodurch eine unbeabsichtigte Entschlüsselung durch Sicherheitsforscher vermieden wird.
Kálnai sagte, dass es sich bei einem Fall, bei dem die neue Schadsoftware im Spiel war, um einen Angriff auf ein spanisches Luft- und Raumfahrtunternehmen handelte, als ein Mitarbeiter im Jahr 2022 eine Nachricht von einem falschen Meta-Personalvermittler namens Steve Dawson erhielt.
Kurz darauf schickten die Hacker die beiden einfachen Codierungsaufgaben, die in die Malware eingebettet waren.
Der erste Kontakt durch den Angreifer, der sich als Rekrutierer von Meta ausgibt. Quelle: WeLiveSecurity.
Cyberspionage sei das Hauptmotiv hinter dem Angriff der Lazarus Group auf das in Spanien ansässige Luft- und Raumfahrtunternehmen gewesen, fügte er hinzu.
Seit 2016 haben nordkoreanische Hacker schätzungsweise 3,5 Milliarden Dollar aus Kryptowährungsprojekten gestohlen, heißt es in einem Bericht des Blockchain-Forensikunternehmens Chainalysis vom 14. September.
Im September 2022 warnte das Cybersicherheitsunternehmen SentinelOne vor einem Fake-Job-Betrug auf LinkedIn und bot potenziellen Opfern im Rahmen einer Kampagne namens „Operation Dream Job“ einen Job bei Crypto.com an.
Unterdessen versuchen die Vereinten Nationen, Nordkoreas Cyberkriminalitätstaktiken auf internationaler Ebene Einhalt zu gebieten. Denn es wird vermutet, dass Nordkorea die gestohlenen Gelder zur Finanzierung seines Atomraketenprogramms verwendet.
Magazin: 3,4 Milliarden Dollar in Bitcoins in einer Popcorndose: Die Geschichte des Silk-Road-Hackers