تستهدف APT Lazarus المهندسين باستخدام برامج macOS الضارة

كوريا الشمالية APT لازاروس ترقى إلى الحيل القديمة من خلال حملة تجسس إلكترونية تستهدف المهندسين بنشر وظائف مزيفة تحاول نشر البرامج الضارة لنظام التشغيل macOS. يستهدف ملف Mac الخبيث القابل للتنفيذ المستخدم في الحملة الأنظمة القائمة على شرائح Apple و Intel.

الحملة التي حددها باحثون من مختبرات أبحاث ESET وكشفت في أ سلسلة من التغريدات نشرت الثلاثاء ، ينتحل صفة تاجر العملات المشفرة Coinbase في وصف وظيفي يدعي أنه يبحث عن مدير هندسي لأمن المنتج ، كشف الباحثون.

كتبوا أن الحملة الأخيرة التي أطلق عليها اسم Operation In (ter) ception ، أسقطت ملف Mac قابل للتنفيذ موقّعًا متنكراً في شكل وصف وظيفي لـ Coinbase ، والذي اكتشف الباحثون أنه تم تحميله على VirusTotal من البرازيل.وفقًا لإحدى التغريدات ، "يتم تجميع البرامج الضارة لكل من Intel و Apple Silicon". "يسقط ثلاثة ملفات: مستند ملف PDF شرك Coinbase_online_careers_2022_07.pdf ، حزمة http [: //] FinderFontsUpdater [.] التطبيق و safarifontagent للتنزيل."

أوجه التشابه مع البرامج الضارة السابقة

البرمجيات الخبيثة على غرار العينة التي اكتشفتها ESET في مايو ، والتي تضمنت أيضًا ملفًا تنفيذيًا موقعًا متنكرًا في شكل وصف وظيفي ، تم تجميعه لكل من Apple و Intel ، وأسقطت ملف PDF ، كما قال الباحثون.

ومع ذلك ، تم توقيع أحدث برنامج ضار في 21 يوليو ، وفقًا للطابع الزمني الخاص به ، مما يعني أنه إما برنامج جديد أو نوع من البرامج الضارة السابقة. قال باحثون إنه يستخدم شهادة صادرة في فبراير 2022 لمطور يدعى Shankey Nohria وألغتها شركة Apple في 12 أغسطس. التطبيق نفسه لم يكن موثقًا.

يحتوي Operation In (ter) ception أيضًا على إصدار Windows مصاحب من البرنامج الضار الذي يسقط نفس الشرك وتم رصده في 4 أغسطس بواسطة Malwarebytes باحث استخبارات التهديد جازيوفقًا لـ ESET.

ترتبط البرامج الضارة المستخدمة في الحملة أيضًا ببنية قيادة وتحكم مختلفة (C2) عن البرامج الضارة التي تم اكتشافها في مايو ، https: [//] concrecapital [.] com /٪ user٪ [.] jpg ، والتي لم تستجب عندما حاول الباحثون الاتصال به.

لعازر على طليق

يُعرف Lazarus في كوريا الشمالية بكونه واحدًا من أكثر APTs إنتاجًا وهو بالفعل في مرمى السلطات الدولية ، بعد أن عوقبته الحكومة الأمريكية في عام 2019.

يشتهر Lazarus باستهداف الأكاديميين والصحفيين والمهنيين في مختلف الصناعات - ولا سيما صناعة الدفاع- لجمع المعلومات الاستخبارية والدعم المالي لنظام كيم جونغ أون. غالبًا ما استخدمت حيل انتحال مشابهة لتلك التي لوحظت في عملية الاستقبال (ثالثًا) لمحاولة إقناع الضحايا بطُعم البرمجيات الخبيثة.

تم تحديد حملة سابقة في يناير أيضًا المهندسين المستهدفين الباحثين عن عمل من خلال التعلق بفرص عمل وهمية في حملة تصيد بالرمح. استخدمت الهجمات Windows Update كأسلوب العيش خارج الأرض و GitHub كخادم C2.

على صعيد آخر، تم الكشف عن حملة مماثلة العام الماضي رأى لازاروس ينتحل صفة مقاولي الدفاع بوينج وجنرال موتورز ويدعي أنه يبحث عن مرشحين للوظائف فقط لنشر وثائق ضارة.

تغييره

ومع ذلك ، قام Lazarus بتنويع تكتيكاته مؤخرًا ، حيث كشف الفيدراليون أن Lazarus كان أيضًا مسؤولًا عن عدد من سرقات العملات المشفرة التي تهدف إلى تزويد نظام Jong-un بالنقود.

فيما يتعلق بهذا النشاط ، الحكومة الأمريكية العقوبات المفروضة ضد خدمة خلط العملات المشفرة Tornado Cash لمساعدة Lazarus في غسل الأموال من أنشطتها الإجرامية الإلكترونية ، والتي يعتقدون أن جزءًا منها لتمويل برنامج الصواريخ في كوريا الشمالية.

حتى أن Lazarus قد غمس إصبع قدمه في برامج الفدية وسط جنون نشاط الابتزاز الإلكتروني. في مايو ، باحثون في شركة الأمن السيبراني Trellix ربط برنامج الفدية VHD الذي ظهر مؤخرًا إلى APT الكوري الشمالي.