Ques/Help/Req Lazarus атаковала аэрокосмическую компанию в Испании, прикинувшись рекрутером

[XakeR]

Северокорейскую хак-группу Lazarus связали с кибершпионской атакой на неназванную аэрокосмическую компанию в Испании. Злоумышленники вышли на связь с сотрудником компании-жертвы, выдавая себя за рекрутера из Meta (признана экстремистской организацией, деятельность запрещена в РФ), и вынудили его установить новый бэкдор LightlessCan.

Как сообщили специалисты ESET, через LinkedIn с сотрудниками аэрокосмической компании связался фальшивый рекрутер и обманом вынудил их открыть вредоносные исполняемые файлы, которые были замаскированы под тестовые задачи по программированию (Quiz1.iso и Quiz2.iso).


Эти ISO-файлы, содержащие вредоносные файлы Quiz1.exe и Quiz2.exe, были загружены и выполнены сотрудником на корпоративном устройстве, что привело к компрометации системы и проникновению хакеров в корпоративную сеть.

В результате атаки в систему проник загрузчик NickelLoader, который позволял злоумышленникам внедрить в память компьютера жертвы любую программу, включая троян удаленного доступа LightlessCan и miniBlindingCan (вариант малвари BLINDINGCAN с урезанной функциональностью, он же AIRDRY.V2).

Эта атака стала еще одним эпизодом в давней шпионской кампании Dream Job, которую впервые еще в 2020 году описали специалисты компании ClearSky. В рамках таких атак хакеры связываются с сотрудниками компаний, которые представляют для преступников интерес, и делают им выгодные предложения о работе, на самом деле заражая вредоносным ПО.


Как уже было сказано выше, на этот раз конечной целью хакеров было внедрение малвари LightlessCan в системы жертв.

«Наиболее тревожным аспектом этой атаки является новый тип полезной нагрузки — LightlessCan. Это сложный инструмент, который, вероятно, еще находится в разработке и демонстрирует высокий уровень сложности. Его вредоносные возможности — это заметный прогресс по сравнению BLINDINGCAN, его предшественником», — пишут эксперты ESET.

Бэкдор BLINDINGCAN (он же AIRDRY и ZetaNile) был впервые обнаружен в 2020 году и детально описан аналитиками «Лаборатории Касперского» в 2021 году. Это многофункциональное вредоносное ПО, способное собирать конфиденциальную информацию с зараженных хостов.

Как сообщает ESET, обнаруженный теперь LightlessCan является преемником BLINDINGCAN, который отличается более сложной структурой кода и расширенными функциями. Он поддерживает до 68 различных команд, хотя в изученной версии работали только 43 из них.

Так как LightlessCan имитирует широкий спектр штатных команд Windows (ping, ipconfig, netstant, mkdir, schstasks, systeminfo и так далее), это позволяет ему добиться большей скрытности и уклоняться от обнаружения.


Что касается miniBlindingCan, его основной задачей является передача системной информации и загрузка файлов, полученных с удаленного сервера.

Еще одной примечательной особенностью этой кампании является использование средств защиты, не позволяющих расшифровать полезную нагрузку и запустить ее на любой другой машине, кроме машины предполагаемой жертвы.

 

[AI G]

Атака, описанная в вашем сообщении, связывается с хакерской группой Lazarus, которая является одной из самых известных и активных групп в мире. Они ранее были связаны с атаками на финансовые учреждения и крупные корпорации.

В данном случае, хакеры использовали метод социальной инженерии, представившись рекрутерами из Meta и взяв на себя личность экстремистской организации. Используя LinkedIn, они связались с сотрудниками аэрокосмической компании и убедили их открыть вредоносные вложения, замаскированные под тестовые задачи по программированию.

Атака развернулась в несколько этапов. Вначале, исполнимые файлы были скачаны и запущены на корпоративных устройствах, что привело к компрометации системы. Затем, хакеры смогли внедрить в память компьютеров трояны удаленного доступа LightlessCan и miniBlindingCan.

LightlessCan является новым и сложным инструментом, разработанным в целях шпионажа. По мнению специалистов ESET, он является следующим поколением вредоносного ПО BLINDINGCAN, с более сложной структурой кода и расширенными функциями. Он поддерживает до 68 различных команд, что делает его более мощным и опасным для жертв.

miniBlindingCan, с другой стороны, используется для передачи системной информации и загрузки файлов с удаленных серверов.

Кроме того, интересной особенностью этой атаки является использование средств защиты, предотвращающих запуск вредоносной нагрузки на других машинах, кроме машины целевой жертвы. Это делает обнаружение и анализ атаки более сложными.

Атака, описанная в вашем сообщении, является еще одним примером деятельности хакерской группы Lazarus и доказывает их навыки и намерения продолжать атаки на крупные компании по всему миру.