Los investigadores descubren la capa de administrador de Lazarus para los servidores C2

Una investigación continua de los recientes ataques del Grupo Lázaro de Corea del Norte sobre compañías de criptomonedas y desarrolladores de software en todo el mundo ha descubierto una clase administrativa oculta con la que el jugador de amenazas administró la infraestructura de comando y control (C2) de la campaña.

La investigación de los investigadores de SecurityScorecard mostró que Lázaro utiliza la infraestructura recién descubierta para mantener la supervisión directa de los sistemas comprometidos, para controlar el impuesto de carga útil sobre usted y administrar eficientemente los datos con filas ex. Significativamente, el jugador de amenazas utiliza la misma plataforma de administrador basada en la web en otras campañas, incluida una que los empleados de TI comienzan, como declaró el proveedor de seguridad.

Seguridad operativa detallada

Aunque el jugador de amenaza ha llevado a cabo medidas de seguridad operativas sofisticadas para evitar la atribución, dijo SecurityCorecard que podría combinar la campaña y la infraestructura con un alto grado de confianza en Corea del Norte.

«[The] El análisis deja en claro que Lázaro tiene como objetivo tomar una operación global que apunte a la industria de las criptomonedas y a los desarrolladores de todo el mundo «, dijo Security CoreCard en Un informe esta semana. «Las campañas llevaron a la descarga de cientos de víctimas y ejecutaron las cargas útiles, mientras que los datos ex filtrados se retiraron a Pyongyang en el fondo».

SecurityScorecard descubrió «Circuito Phantom», con el que siguió la capa de administrador recién descubierta del Grupo Lázaro y al mismo tiempo realizó exámenes de seguimiento.Operación 99«Una campaña maliciosa que se mostró recientemente en la industria de las criptomonedas y los desarrolladores de todo el mundo. En la campañaLos miembros del grupo de amenazas han exhibido como reclutadores en LinkedIn y otros foros de trabajo en línea para que los desarrolladores de software participen en pruebas de proyectos falsos y revisiones de código.

Las víctimas que se enamoran del fraude reciben instrucciones de clonar un repositorio de GitHub de código abierto aparentemente benigno pero dañino. El repositorio clonado establece una conexión con la infraestructura C2 del Grupo Lazarus, con el cual el jugador de amenaza penetra los datos que roban malware en el entorno de la víctima. Como parte de la campaña, los actores del Grupo Lazarus han velado a Hinters en productos de software legítimos, incluidas las aplicaciones de autenticación y el software de criptomonedas, e intentan que los desarrolladores los operen en sus entornos. SecurityScorecard estima que más de 230 víctimas han descargado las cargas útiles maliciosas en la última campaña del actor de amenaza de Corea del Norte.

Doble motivaciones

«La motivación es dos veces: robo de criptomonedas e infiltración de redes corporativas», dice Ryan Sherstobitoff, vicepresidente senior de inteligencia de amenazas de SecurityScorecard. En la mayoría de los casos, los desarrolladores que son víctimas del Lázaro Grupo atraen, el código clonado en sus dispositivos corporativos y en sus entornos de trabajo están expuestos. «Las cargas útiles están diseñadas de tal manera que inician el desarrollo de secretos», dice.

SecurityScorecard descubrió la instalación de Gear -Enting de Phantom cuando trató de entender de una manera muy oculta. AstrillCon servidores VPN en 142 ciudades y 56 países, la reputación que los usuarios pueden buscar anónimamente en la web y pueden manejar las restricciones de Internet en países con una fuerte censura.

Los investigadores de SecurityScorecard descubrieron que los miembros de Lázaro usan Astrill VPN para conectarse a una red proxy registrada en una compañía de carga en Hasan, Rusia. Luego usaron la red proxy para conectarse a la infraestructura C2 de la Operación 99 para tratar de ocultar sus trazas. Los servidores C2 mismos se mantuvieron en la infraestructura, que se registró con una «Industrias Strong Strong» probablemente ficticias.

«[SecurityScorecard] Calificado con alta confianza en que los IPS, que se usaron para conectarse al C2S, con el diputado oculto el verdadero origen, de donde realmente se conectaron. «SecureCorecard dijo que podría identificar un total de seis direcciones IP diferentes en Pyongyang con las que el jugador de amenaza inició las conexiones VPN Astrill a la red C2 de la Operación 99.

«Circuito fantasma [is the] Red de negocios detrás de escena que regresan a Pyongyang » El trabajador de TI sale Para tratar de asegurar trabajos en las organizaciones, querían infiltrarse.