Lazarus атакует Южную Корею через уязвимости в обязательном защитном ПО
«Лаборатория Касперского» выявила новую кампанию группы Lazarus под названием «Операция FlashHole», направленную на организации в Южной Корее. Злоумышленники эксплуатируют легитимное защитное ПО CrossWeb EX, обязательное для установки в стране, и используют таргетированный фишинг со ссылками на поддельные сайты с портфолио и резюме. Кампания затронула как минимум три организации в сферах разработки ПО, строительства и производства оборудования проводной связи.
Подробности
В ходе атаки Lazarus злоупотребляла легитимным южнокорейским приложением CrossWeb EX — решением для защиты финансовых операций, которое требуется для доступа к сайтам онлайн-банкинга и государственных служб. Программа шифрует соединение между браузером пользователя и веб-сервером с помощью инфраструктуры открытых ключей (PKI). Примечательно, что цепочка атаки ведет к выполнению вредоносного кода в памяти, а создаваемый процесс запускается с высоким уровнем целостности. Родительским процессом выступает INISAFECrossWebEXSvc.exe из комплекта INISAFE CrossWeb EX V3 версии 3.4.1.2, выпущенной в 2023 году после бюллетеня KrCERT. Группа Lazarus эксплуатирует это ПО не впервые: оно применялось в 2021 году для доставки загрузчика Racket, а также в 2022 и 2023 годах. Как именно злоумышленники использовали CrossWeb EX в этот раз, пока неизвестно. Особенностью кампании стала более тщательная работа с целями: жертвам рассылались целевые фишинговые письма со ссылками на поддельные, но релевантные сайты — например, страницы с портфолио и резюме, подготовленные под каждую конкретную жертву. По данным исследователей, пострадали как минимум три организации в Южной Корее: в сферах разработки ПО, строительства и производства оборудования проводной связи. По сравнению с «Операцией SyncHole» набор отраслей изменился, что говорит о расширении круга целей со временем.Что делать
Организациям, использующим CrossWeb EX и аналогичное обязательное ПО, рекомендуется усилить контроль за цепочками выполнения процессов, связанных с INISAFECrossWebEXSvc.exe, и отслеживать аномальную активность дочерних процессов с высоким уровнем целостности. Следует проявлять осторожность при переходе по ссылкам из писем, даже если они ведут на релевантные, на первый взгляд, ресурсы, и проверять подлинность сайтов с резюме и портфолио. Также важно обеспечить актуальность версий защитного ПО и средств обнаружения конечных угроз, а сотрудников — обучить распознаванию таргетированного фишинга. Итог: «Операция FlashHole» демонстрирует, что группы уровня Lazarus продолжают целенаправленно эксплуатировать доверенное и обязательное ПО как вектор атаки, адаптируя тактики под конкретных жертв. Своевременное обнаружение аномалий в цепочках выполнения и бдительность при работе с входящими сообщениями остаются ключевыми мерами защиты.Источник: Kaspersky Securelist RU