APT Lazarus richt zich op technici met MacOS-malware

Heruitgegeven door Plato

volgers: 0

De Noord-Koreaanse APT gebruikt een nep-vacature voor Coinbase in een cyberspionagecampagne gericht op gebruikers van zowel Apple- als Intel-gebaseerde systemen.

Noord-Koreaanse APT Lazarus voert zijn oude trucs uit met een cyberspionagecampagne die zich richt op technici met een nep-vacature die proberen macOS-malware te verspreiden. Het kwaadaardige Mac-uitvoerbare bestand dat in de campagne wordt gebruikt, richt zich op zowel Apple- als Intel-chipgebaseerde systemen.

De campagne, geïdentificeerd door onderzoekers van ESET onderzoekslaboratoria en onthuld in een reeks tweets dinsdag gepost, imiteert cryptocurrency-handelaar Coinbase in een functiebeschrijving die beweerde een technisch manager voor productbeveiliging te zoeken, onthulden onderzoekers.

Nagesynchroniseerd met Operation In(ter)ception, dropt de recente campagne een ondertekend Mac-uitvoerbaar bestand vermomd als een functiebeschrijving voor Coinbase, waarvan onderzoekers ontdekten dat ze waren geüpload naar VirusTotal vanuit Brazilië, schreven ze."Malware is gecompileerd voor zowel Intel als Apple Silicon", aldus een van de tweets. "Het laat drie bestanden vallen: een lok PDF-document Coinbase_online_careers_2022_07.pdf, een bundel http[://]FinderFontsUpdater[.]app en een downloader safarifontagent."

Overeenkomsten met eerdere malware

De malware is gelijk aan een voorbeeld ontdekt door ESET in mei, dat ook een ondertekend uitvoerbaar bestand bevatte vermomd als een functiebeschrijving, werd samengesteld voor zowel Apple als Intel, en liet een pdf-lokvogel vallen, aldus onderzoekers.

De meest recente malware is echter ondertekend op 21 juli, volgens het tijdstempel, wat betekent dat het iets nieuws is of een variant van de vorige malware. Het maakt gebruik van een certificaat dat in februari 2022 is uitgegeven aan een ontwikkelaar genaamd Shankey Nohria en dat op 12 augustus door Apple is ingetrokken, aldus onderzoekers. De app zelf is niet notarieel bekrachtigd.

Operation In(ter)ception heeft ook een begeleidende Windows-versie van de malware die dezelfde valstrik laat vallen en op 4 augustus werd opgemerkt door Malwarebytes dreigingsinformatie-onderzoeker Jazi, volgens ESET.

De malware die in de campagne wordt gebruikt, maakt ook verbinding met een andere command and control (C2) -infrastructuur dan de malware die in mei werd ontdekt, https:[//]concrecapital[.]com/%user%[.]jpg, die niet reageerde toen onderzoekers probeerden er verbinding mee te maken.

Lazarus op vrije voeten

De Noord-Koreaanse Lazarus staat bekend als een van de meest productieve APT's en staat al in het vizier van internationale autoriteiten, nadat hij in 2019 door de Amerikaanse regering was gesanctioneerd.

Lazarus staat erom bekend zich te richten op academici, journalisten en professionals in verschillende sectoren, met name de defensie-industrie–het verzamelen van inlichtingen en financiële steun voor het regime van Kim Jong-un. Het heeft vaak imitatietrucs gebruikt die vergelijkbaar zijn met degene die werd waargenomen in Operation In(ter)ception om te proberen slachtoffers ertoe te brengen het malwareaas te pakken.

Een eerdere campagne geïdentificeerd in januari ook gerichte werkzoekende ingenieurs door nep-vacatures aan hen te bungelen in een spear-phishing-campagne. De aanvallen gebruikten Windows Update als een techniek van het leven van het land en GitHub als een C2-server.

Ondertussen een soortgelijke campagne vorig jaar ontdekt zag Lazarus zich voordoen als defensieaannemers Boeing en General Motors en beweerde sollicitanten alleen te zoeken om kwaadaardige documenten te verspreiden.

Het veranderen

Meer recentelijk heeft Lazarus zijn tactieken gediversifieerd, waarbij de FBI onthulde dat Lazarus ook verantwoordelijk was voor een aantal crypto-overvallen die erop gericht waren het regime van Jong-un met contant geld te vullen.

Met betrekking tot deze activiteit heeft de Amerikaanse regering opgelegde sancties tegen cryptocurrency-mixerservice Tornado Cash voor het helpen van Lazarus bij het witwassen van geld van zijn cybercriminele activiteiten, waarvan zij denken dat ze gedeeltelijk het raketprogramma van Noord-Korea financieren.

Lazarus heeft zelfs zijn teen ondergedompeld in ransomware te midden van zijn razernij van cyberafpersingsactiviteiten. In mei hebben onderzoekers van cyberbeveiligingsbedrijf Trellix bond de onlangs opgekomen VHD-ransomware naar de Noord-Koreaanse APT.