APT Lazarus prende di mira gli ingegneri con macOS Malware

APT nordcoreano Lazarus sta riprendendo i suoi vecchi trucchi con una campagna di cyberspionaggio che prende di mira gli ingegneri con un falso annuncio di lavoro che tenta di diffondere malware macOS. L'eseguibile Mac dannoso utilizzato nella campagna prende di mira sia i sistemi basati su chip Apple che quelli Intel.

La campagna, identificata dai ricercatori di Laboratori di ricerca ESET e rivelato in a serie di tweet pubblicato martedì, impersona commerciante di criptovaluta Coinbase in una descrizione del lavoro in cui affermavano di cercare un responsabile tecnico per la sicurezza del prodotto, i ricercatori hanno divulgato.

Soprannominata Operazione In(ter)ception, la recente campagna rilascia un eseguibile Mac firmato mascherato da descrizione del lavoro per Coinbase, che i ricercatori hanno scoperto caricato su VirusTotal dal Brasile, hanno scritto."Il malware viene compilato sia per Intel che per Apple Silicon", si legge in uno dei tweet. "Rilascia tre file: un documento PDF esca Coinbase_online_careers_2022_07.pdf, un bundle http[://]FinderFontsUpdater[.]app e un downloader safarifontagent."

Somiglianze con il malware precedente

Il malware è simile ad un campione scoperto da ESET a maggio, che includeva anche un eseguibile firmato mascherato da descrizione del lavoro, è stato compilato sia per Apple che per Intel e ha rilasciato un esca PDF, hanno detto i ricercatori.

Tuttavia, il malware più recente è firmato il 21 luglio, secondo il timestamp, il che significa che si tratta di qualcosa di nuovo o di una variante del malware precedente. Utilizza un certificato rilasciato nel febbraio 2022 a uno sviluppatore chiamato Shankey Nohria e che è stato revocato da Apple il 12 agosto, hanno detto i ricercatori. L'app stessa non è stata autenticata.

Operation In(ter)ception dispone anche di una versione Windows complementare del malware che rilascia la stessa esca e viene individuata il 4 agosto da Malwarebytes Jazi, ricercatore di intelligence sulle minacce, secondo ESET.

Il malware utilizzato nella campagna si collega inoltre a un'infrastruttura di comando e controllo (C2) diversa rispetto al malware scoperto a maggio, https:[//]concrecapital[.]com/%user%[.]jpg, che non ha risposto quando i ricercatori hanno provato a collegarsi ad esso.

Lazzaro in libertà

Il Lazarus della Corea del Nord è ben noto come uno degli APT più prolifici ed è già nel mirino delle autorità internazionali, essendo stato sanzionato nel 2019 dal governo degli Stati Uniti.

Lazarus è noto per prendere di mira accademici, giornalisti e professionisti in vari settori, in particolare quello industria della difesa–raccogliere intelligence e sostegno finanziario per il regime di Kim Jong-un. Ha spesso utilizzato stratagemmi di impersonificazione simili a quello osservato nell'Operazione In(ter)ception per cercare di indurre le vittime ad abboccare all'esca del malware.

Anche una precedente campagna identificata a gennaio ingegneri in cerca di lavoro mirati proponendo loro false opportunità di lavoro in una campagna di spear-phishing. Gli attacchi hanno utilizzato Windows Update come tecnica per vivere fuori terra e GitHub come server C2.

Nel frattempo, un campagna simile scoperta l'anno scorso ha visto Lazarus impersonare gli appaltatori della difesa Boeing e General Motors e affermare di cercare candidati al lavoro solo per diffondere documenti dannosi.

Cambiarlo

Tuttavia, più recentemente Lazarus ha diversificato le sue tattiche, con i federali che hanno rivelato che Lazarus è stato anche responsabile di una serie di furti di criptovalute volti a riempire di denaro il regime di Jong-un.

Legato a questa attività, il governo degli Stati Uniti sanzioni comminate contro il servizio di miscelazione di criptovalute Tornado Cash per aver aiutato Lazarus a riciclare denaro proveniente dalle sue attività criminali informatiche, che secondo loro servono in parte a finanziare il programma missilistico della Corea del Nord.

Lazarus si è persino tuffato nel ransomware nel corso della sua frenetica attività di estorsione informatica. A maggio, i ricercatori della società di sicurezza informatica Trellix legato al ransomware VHD recentemente emerso all'APT nordcoreano.