APT Lazarus nhắm mục tiêu kỹ sư với phần mềm độc hại macOS

Bắc Triều Tiên APT Lazarus vẫn sử dụng các thủ thuật cũ của nó với một chiến dịch gián điệp mạng nhắm mục tiêu đến các kỹ sư với một tin tuyển dụng giả mạo nhằm phát tán phần mềm độc hại macOS. Tập tin thực thi Mac độc hại được sử dụng trong chiến dịch nhắm mục tiêu vào cả hệ thống dựa trên chip của Apple và Intel.

Chiến dịch, được xác định bởi các nhà nghiên cứu từ Phòng thí nghiệm Nghiên cứu ESET và được tiết lộ trong một loạt các tweet đăng thứ ba, mạo danh nhà giao dịch tiền điện tử Coinbase trong một mô tả công việc tuyên bố tìm kiếm một giám đốc kỹ thuật về bảo mật sản phẩm, các nhà nghiên cứu tiết lộ.

Được đặt tên là Operation In (ter) ception, chiến dịch gần đây đưa ra tệp thực thi Mac đã ký được ngụy trang dưới dạng mô tả công việc cho Coinbase, được các nhà nghiên cứu phát hiện đã tải lên VirusTotal từ Brazil, họ viết.“Phần mềm độc hại được tổng hợp cho cả Intel và Apple Silicon,” theo một trong những tweet. “Nó làm rơi ba tệp: một tài liệu PDF mồi nhử Coinbase_online_careers_2022_07.pdf, một gói ứng dụng http [: //] FinderFontsUpdater [.] Và một trình tải xuống safarifontagent.”

Điểm tương đồng với phần mềm độc hại trước đây

Phần mềm độc hại là tương tự như một mẫu được phát hiện bởi ESET vào tháng XNUMX, cũng bao gồm một tệp thực thi có chữ ký được ngụy trang dưới dạng mô tả công việc, được biên dịch cho cả Apple và Intel, đồng thời bỏ đi một mồi nhử PDF, các nhà nghiên cứu cho biết.

Tuy nhiên, phần mềm độc hại gần đây nhất được ký vào ngày 21 tháng 2022, theo dấu thời gian của nó, có nghĩa là nó là một cái gì đó mới hoặc là một biến thể của phần mềm độc hại trước đó. Nó sử dụng một chứng chỉ được cấp vào tháng 12 năm XNUMX cho một nhà phát triển có tên Shankey Nohria và đã bị Apple thu hồi vào ngày XNUMX tháng XNUMX, các nhà nghiên cứu cho biết. Bản thân ứng dụng không được công chứng.

Operation In (ter) ception cũng có một phiên bản Windows đồng hành của phần mềm độc hại thả cùng một mồi nhử và bị Malwarebytes phát hiện vào ngày 4 tháng XNUMX nhà nghiên cứu tình báo về mối đe dọa Jazi, theo ESET.

Phần mềm độc hại được sử dụng trong chiến dịch cũng kết nối với cơ sở hạ tầng chỉ huy và kiểm soát (C2) khác với phần mềm độc hại được phát hiện vào tháng XNUMX, https: [//] Specificcapital [.] Com /% user% [.] Jpg, không phản hồi khi các nhà nghiên cứu đã cố gắng kết nối với nó.

Lazarus trên đường lỏng

Lazarus của Triều Tiên nổi tiếng là một trong những APTs phát triển mạnh nhất và đã nằm trong tầm ngắm của các cơ quan chức năng quốc tế, đã bị chính phủ Hoa Kỳ trừng phạt vào năm 2019.

Lazarus được biết đến với việc nhắm mục tiêu vào các học giả, nhà báo và các chuyên gia trong các ngành khác nhau — đặc biệt là ngành công nghiệp quốc phòng–Để thu thập thông tin tình báo và hỗ trợ tài chính cho chế độ của Kim Jong-un. Nó thường sử dụng các phương thức mạo danh tương tự như phương pháp được quan sát trong Chiến dịch In (ter) ception để cố gắng khiến nạn nhân nhận được mồi của phần mềm độc hại.

Một chiến dịch trước đó đã được xác định vào tháng Giêng cũng các kỹ sư tìm kiếm việc làm được nhắm mục tiêu bằng cách treo lơ lửng các cơ hội việc làm giả cho họ trong một chiến dịch lừa đảo trực tuyến. Các cuộc tấn công sử dụng Windows Update như một kỹ thuật thực tế và GitHub như một máy chủ C2.

Trong khi đó, một chiến dịch tương tự được phát hiện vào năm ngoái thấy Lazarus mạo danh nhà thầu quốc phòng Boeing và General Motors và tuyên bố chỉ tìm kiếm ứng viên để phát tán tài liệu độc hại.

Thay đổi nó lên

Tuy nhiên, gần đây, Lazarus đã đa dạng hóa các chiến thuật của mình, với liên quan đến việc tiết lộ rằng Lazarus cũng chịu trách nhiệm cho một số vụ khủng bố tiền điện tử nhằm mục đích độn tiền mặt cho chế độ của Jong-un.

Liên quan đến hoạt động này, chính phủ Hoa Kỳ các biện pháp trừng phạt đánh thuế chống lại dịch vụ trộn tiền điện tử Tornado Cash vì đã giúp Lazarus rửa tiền từ các hoạt động tội phạm mạng của nó, mà họ tin rằng một phần là để tài trợ cho chương trình tên lửa của Triều Tiên.

Lazarus thậm chí đã nhúng tay vào ransomware giữa lúc nó đang điên cuồng với hoạt động phân tích mạng. Vào tháng XNUMX, các nhà nghiên cứu tại công ty an ninh mạng Trellix gắn với ransomware VHD mới xuất hiện gần đây tới APT của Bắc Triều Tiên.