Lazarus的DeathNote集群的演變：從攻擊加密貨幣到攻擊國防部門
卡巴斯基最近調(diào)查了 DeathNote，這是屬于臭名昭著的 Lazarus 組織的集群之一。多年以來，DeathNote 發(fā)生了巨大的變化，從 2019 年開始，全球加密貨幣相關(guān)企業(yè)都遭到該威脅的攻擊。到 2022 年底，其發(fā)動的針對性攻擊影響了歐洲、拉丁美洲、韓國和非洲的 IT 公司和國防企業(yè)。
卡巴斯基的最新報(bào)告追蹤了 DeathNote 攻擊目標(biāo)的轉(zhuǎn)變，以及他們在過去四年中所使用的工具、技術(shù)和程序的發(fā)展和完善。
臭名昭著的威脅行為者 Lazarus 長期以來一直將與加密貨幣相關(guān)的企業(yè)作為攻擊目標(biāo)。在監(jiān)控該威脅行為者的活動時(shí)，卡巴斯基注意到他們在一個(gè)案例中使用了一個(gè)顯著更改的惡意軟件。2019 年 10 月中旬，我們發(fā)現(xiàn)了一份上傳至 VirusTotal 的可疑文件。
該惡意軟件作者使用了與加密貨幣業(yè)務(wù)相關(guān)的誘餌文檔。其中包括一份關(guān)于特定加密貨幣購買的調(diào)查問卷，一份關(guān)于特定加密貨幣的介紹，以及一家比特幣挖礦公司的介紹。這是 DeathNote 攻擊活動首次發(fā)威，其攻擊目標(biāo)是位于塞浦路斯、美國、中國臺灣和中國香港的從事加密貨幣業(yè)務(wù)的個(gè)人和企業(yè)。
DeathNote 集群的時(shí)間線
然而，在 2020 年 4 月，卡巴斯基看到 DeathNote 的感染媒介發(fā)生了重大轉(zhuǎn)變。研究顯示，DeathNote 集群被用于攻擊東歐與國防工業(yè)有關(guān)的汽車和學(xué)術(shù)組織。
此時(shí)，該威脅行為者將所有與國防承包商和外交相關(guān)的工作描述相關(guān)的誘餌文件都換掉了。除此之外，該威脅行為者還進(jìn)一步優(yōu)化了其感染鏈，在其武器化的文檔中使用遠(yuǎn)程模板注入技術(shù)，并使用包含木馬的開源 PDF 查看軟件。這兩種感染方法都會導(dǎo)致相同的惡意軟件感染（DeathNote下載器），它負(fù)責(zé)上傳受害者的信息。
2021 年 5 月，卡巴斯基發(fā)現(xiàn)歐洲一家提供網(wǎng)絡(luò)設(shè)備和服務(wù)器監(jiān)控解決方案的 IT 公司被 DeathNote 集群所感染。
此外，2021 年 6 月初，這個(gè) Lazarus 的子組織開始利用一種新的機(jī)制感染位于韓國的目標(biāo)。引起研究人員注意的是，該惡意軟件的初始階段是由合法軟件執(zhí)行的，該軟件在韓國廣泛用于安全防護(hù)。
在 2022 年監(jiān)控 DeathNote 期間，卡巴斯基研究人員發(fā)現(xiàn)該集群對拉丁美洲的一家國防承包商遭受攻擊負(fù)有責(zé)任。最初的感染媒介與我們在其他國防工業(yè)目標(biāo)上看到的相似，包括使用木馬化的 PDF 閱讀器和精心制作的 PDF 文件。但是，在這個(gè)特殊的案例中，威脅行為者采用了側(cè)加載技術(shù)來執(zhí)行最終的有效載荷。
據(jù)透露，在 2022 年 7 月首次發(fā)現(xiàn)的持續(xù)攻擊活動中，Lazarus 組織已成功入侵非洲的一家國防承包商。初始感染時(shí)通過 Skype 聊天軟件發(fā)送的一個(gè)可疑的 PDF 應(yīng)用程序進(jìn)行的。當(dāng)執(zhí)行該 PDF 閱讀程序時(shí)，它在同一目錄中創(chuàng)建了合法文件（CameraSettingsUIHost.exe）和惡意文件（DUI70.dll）。
Seongsu Park
卡巴斯基全球研究與分析團(tuán)隊(duì)(GEeAT)首席安全研究員
“Lazarus 組織是一個(gè)臭名昭著且技術(shù)高超的威脅行為者。我們對 DeathNote 集群的分析顯示，多年來其所使用的戰(zhàn)術(shù)、技術(shù)和流程一直在快速演變。在這次攻擊行動中，Lazarus 并不局限于與加密相關(guān)的業(yè)務(wù)，而是走得更遠(yuǎn)。它會部署合法軟件和惡意文件來入侵國防企業(yè)。隨著 Lazarus 組織繼續(xù)完善其攻擊方法，企業(yè)和組織必須保持警惕并采取積極措施防御其惡意活動?！?/span>
想要了解更多有關(guān) Lazarus 的 DeathNote 集群及其攻擊行動的不同階段和 TTP 詳情：
為了避免成為已知或未知威脅行為者發(fā)動的針對性攻擊的受害者，卡巴斯基研究人員建議實(shí)施以下措施：
對您的網(wǎng)絡(luò)進(jìn)行網(wǎng)絡(luò)安全審計(jì)，并對在周邊或網(wǎng)絡(luò)內(nèi)部發(fā)現(xiàn)的任何薄弱之處進(jìn)行補(bǔ)救。
為您的員工提供基礎(chǔ)的網(wǎng)絡(luò)安全衛(wèi)生知識培訓(xùn)，因?yàn)楹芏噌槍π怨舳际菑木W(wǎng)絡(luò)釣魚或其他社交工程手段開始的。
教育您的員工僅從受信任的來源和官方應(yīng)用商店下載軟件和移動應(yīng)用。
使用 EDR 產(chǎn)品，并啟用對高級威脅的事件檢測和響應(yīng)功能。卡巴斯基管理檢測和響應(yīng)等服務(wù)提供了對于針對性攻擊的威脅追蹤功能。
使用一款能夠通過檢測和攔截賬戶盜竊、未認(rèn)證交易以及洗錢行為來保護(hù)加密貨幣交易安全的反欺詐解決方案。
END