CTI indaga sull’ultima attività del gruppo Lazarus della Corea del Nord, che include ripetutamente compromettere un fornitore di software senza nome e distribuire più famiglie di malware. CTI fa luce su Prolific Puma, un attore di minacce DNS che opera nell’ombra da diversi anni. CTI conclude le cose con uno sguardo a un attore di minaccia nordcoreano che si sovrappone al gruppo Lazarus e ora sta prendendo di mira gli ingegneri blockchain su una piattaforma di scambio crittografico con un nuovo malware macOS.
1. Lazarus Group si rivolge a un fornitore di software
Il gruppo Lazarus della Corea del Nord (si apre in una nuova scheda) è stato osservato ripetutamente compromettere un fornitore di software senza nome. Il gruppo è stato in grado di sfruttare le vulnerabilità nonostante la disponibilità di più patch e avvisi. Gli aggressori hanno utilizzato diverse tecniche di evasione e hanno distribuito diverse famiglie di malware.
Panoramica degli attacchi
Secondo SecureList (si apre in una nuova scheda), il fornitore era già stato vittima di Lazarus Group numerose volte. La violazione ricorrente indica un attore di minacce persistente con un potenziale attacco alla catena di fornitura in mente.
Il malware SIGNBT utilizzato nell’attacco ha impiegato una catena di infezione diversificata e tecniche sofisticate. L’autore della minaccia ha anche sfruttato LPEClient per eseguire una serie di attacchi mirati.
Informazioni sul caricatore SIGNBT
Nel luglio 2023, SecureList ha rilevato una serie di attacchi a diverse vittime che sono state prese di mira attraverso un software di sicurezza legittimo progettato per crittografare le comunicazioni web tramite certificati digitali.
In un caso, SecureList ha scoperto il malware SIGNBT e il codice di shell, responsabile dell’avvio di un file eseguibile di Windows direttamente in memoria. L’autore della minaccia ha utilizzato tattiche diverse per la persistenza durante l’attacco e diversi metodi per caricare il payload SIGNBT finale. L'autore della minaccia ha utilizzato principalmente il sideloading DLL per fornire SIGNBT.
Malware SIGNBT: una panoramica
La maggior parte delle istanze di malware SIGNBT vengono avviate dal caricatore di malware, che opera in memoria.
Una volta eseguito, inizia a comunicare con il server C2 , inviando un beacon dopo aver inizializzato i dati di configurazione. La sua comunicazione utilizza stringhe distintive che iniziano con SIGNBT, da cui il nome del malware. Il malware crea un valore di 24 byte e genera altri 24 byte di dati casuali che vengono XORizzati insieme. I valori codificati sono combinati con tre o sette nomi di parametri HTTP generati casualmente, rendendo più difficile Detect e analizzare le comunicazioni. Il malware contiene un ampio set di funzionalità che possono essere eseguite in base alle istruzioni del C2.
Alcuni dei comandi supportati da SIGNBT includono:
- CCBrush: gestisce funzionalità come ottenere informazioni sul sistema, testare la connettività e configurare le impostazioni.
- CCList: gestisce i processi tra cui ottenere un elenco di processi in esecuzione, processi di interruzione, file in esecuzione e manipolazioni DLL.
- CCComboBox: funziona con il file system, ad esempio ottenendo elenchi di unità, modificando le proprietà dei file e creando nuove cartelle.
- CCButton: consente di scaricare e caricare file, caricarli in memoria e catturare lo schermo.
- CCBitmap: implementa i comandi e le utilità di Windows comunemente utilizzati.
LPEClient
L’attore è stato osservato mentre consegnava strumenti come LPEClient e utility di dumping delle credenziali. Il malware LPEClient non è nuovo, essendo stato scoperto in 2020. Raccoglie informazioni sulle vittime e scarica payload aggiuntivi da un server remoto per l'esecuzione in memoria.
Secondo SecureList, questo malware ha subito un’evoluzione significativa dalla sua scoperta. Ora sfrutta tecniche avanzate per migliorare la sua furtività ed eludere il rilevamento, come la disabilitazione dell'aggancio syscall in modalità utente e il ripristino delle sezioni di memoria della libreria di sistema.
LPEClient è stato precedentemente utilizzato negli attacchi del gruppo Lazarus. Questo malware funge ripetutamente da vettore di infezione iniziale per consentire la profilazione delle vittime e fornire payload aggiuntivi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Quest’ultimo rapporto ribadisce quanto possa essere determinato e persistente il Gruppo Lazarus, attaccando ripetutamente la stessa azienda per facilitare un attacco alla supply chain.
È chiaro che il gruppo è impegnato a rimanere uno dei principali attori delle minacce. Durante i loro ripetuti tentativi di compromettere la stessa azienda di software, si sono basati fortemente sullo sfruttamento delle vulnerabilità che avevano una patch rilasciata, dimostrando ulteriormente l'importanza di patching tempestivo.
2. Il servizio di accorciamento dei collegamenti abusa del dominio di primo livello .US
I ricercatori stanno monitorando attivamente un attore di minacce DNS chiamato Prolific Puma (si apre in una nuova scheda), che crea nomi di dominio utilizzando un algoritmo di generazione di domini registrati (RDGA) e li utilizza per fornire un servizio di accorciamento dei collegamenti ad altri attori di minacce per il phishing e altre attività dannose. Il servizio di accorciamento dei link abusa pesantemente del dominio di primo livello (TLD) .US.
Che cosa è Prolific Puma?
Prolific Puma sta giocando un piccolo ruolo all’interno della catena di approvvigionamento dei criminali informatici, consentendo ad altri criminali informatici di condurre attività dannose. Il gruppo genera algoritmicamente grandi volumi di domini e li utilizza per generare collegamenti abbreviati. Altri attori della minaccia utilizzano questi link per nascondere la loro attività.
I ricercatori hanno trovato rapporti sui servizi di accorciamento dei collegamenti di Prolific Puma (si apre in una nuova scheda) risalenti al gennaio 2020. I collegamenti abbreviati vengono inviati principalmente alle vittime tramite messaggi di testo. Tuttavia, potrebbero essere utilizzati anche in altri contesti.
Rilevazione e caratteristiche del nome di dominio
Infoblox ha aggregato registri di query DNS passivi insieme ad altre fonti di dati per eseguire una serie di analisi su domini appena interrogati, registrati o configurati. Ciò ha consentito loro di caratterizzare i domini, contrassegnandone alcuni come sospetti e assegnandone alcuni a un particolare attore di minacce DNS . Hanno implementato algoritmi per la scoperta di RDGA all’inizio di quest’anno, identificando i domini Prolific Puma in gruppi.
La connessione tra i domini Prolific Puma e le vere pagine di destinazione finali è indiretta. Il traffico dannoso è suddiviso tra i domini di reindirizzamento a volumi bassi e alcuni dei domini hanno una “buona” reputazione attraverso l’invecchiamento strategico.
Prolific Puma ha registrato da 35.000 a 75.000 domini unici dal aprile 2022, con circa 43 nuovi domini osservati ogni giorno. L'attore utilizza principalmente NameSilo come registrar di nomi di dominio e invecchia strategicamente i domini prima di iniziare a ospitare il proprio servizio con provider anonimi. L’attore abusa costantemente del TLD statunitense ed è noto per registrare sia domini nuovi che abbandonati.
I domini sono alfanumerici, pseudo-casuali, e in genere di lunghezza compresa tra tre e quattro caratteri. I domini sono anche registrati in 12 TLD, con circa il 55% registrato con .US.
Abuso del TLD .US
Solo i cittadini degli Stati Uniti e le aziende affiliate agli Stati Uniti possono registrare domini .US. Per registrare un dominio .US con NameSilo è necessario disporre di un indirizzo e-mail e selezionare una categoria che segnala il proprio rapporto con gli Stati Uniti. Prolific Puma è stato osservato selezionando la categoria “cittadino statunitense”.
Il dichiarante deve anche fornire un nome, un indirizzo e un numero di telefono, nessuno dei quali sembra essere verificato durante il processo. Questo è un problema continuo per molti TLD in quanto è difficile per un registrar regolare i domini.
Come Prolific Puma utilizza l'invecchiamento strategico
DNS Gli autori delle minacce sono simili agli autori delle minacce malware, ma lasciano pochissime informazioni con cui lavorare nei record DNS registrazione DNS e dominio. Prolific Puma preferisce utilizzare la registrazione privata del dominio, ma fa ancora molto affidamento sulle registrazioni TLD che devono essere pubbliche.
L'attore lascerà il dominio inutilizzato o parcheggiato per diverse settimane dopo la registrazione, una tecnica nota come invecchiamento strategico. Questo viene fatto intenzionalmente, poiché molti attacchi di phishing sono legati a domini di nuova registrazione e alcune aziende bloccheranno l'accesso a domini di nuova registrazione in risposta a questo. Durante questo processo di invecchiamento, l'autore della minaccia eseguirà alcune query DNS per ottenere una buona reputazione per il dominio.
Sembra che Prolific Puma fornisca un servizio ad altri attori delle minacce e che le pagine di destinazione finali non siano sotto il loro controllo, anche se è possibile. Non è chiaro come Prolific Puma pubblicizzi i suoi servizi e come i suoi utenti ricevano l’ URL abbreviato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I ricercatori spesso passano molto tempo a guardare il punto di inizio e di fine di una campagna dannosa, cioè la pagina di destinazione. Quello che stiamo vedendo con Prolific Puma è lo strato intermedio della più ampia catena di approvvigionamento dei criminali informatici, e come questi attori delle minacce DNS possano ulteriormente abilitare altri criminali informatici nei loro sforzi. Questo è ciò che rende Prolific Puma e il suo servizio di accorciamento dei link così interessante.
3. Gli hacker prendono di mira gli esperti di crittografia con il malware KANDYKORN
Gli autori delle minacce nordcoreane stanno ora prendendo di mira gli ingegneri blockchain su una piattaforma di scambio di criptovalute con un nuovo malware macOS (si apre in una nuova scheda) chiamato KANDYKORN.
L’attività, che risale al aprile 2023, prevede una combinazione di funzionalità personalizzate e open source e si sovrappone al Gruppo Lazarus.
Il flusso di esecuzione
In questo esempio, gli attori della minaccia hanno iniziato impersonando i membri Community di ingegneria blockchain su un server Discord pubblico. L’attore ha quindi utilizzato l’ingegneria sociale per convincere le vittime a scaricare e decomprimere un archivio ZIP di codice dannoso, portando la vittima a credere che stavano installando un bot di arbitraggio o uno strumento software utilizzato per trarre profitto dalle differenze di tasso di criptovaluta tra le piattaforme.
La catena di attacco si traduce in ultima analisi nella distribuzione del malware KANDYKORN.
- Fase 1 dropper: testSpeed.py e FinderTools sono due dropper utilizzati nella prima fase dell'attacco.
testSpeed.py stabilisce una connessione in uscita e recupera un file Python aggiuntivo da un URL di Google Drive (FinderTools). testSpeed.py salverà e avvierà questo nuovo file.
FinderTools è un altro dropper e scaricherà ed eseguirà un payload nascosto di secondo stadio (.sld).
- Payload della fase 2 : questa fase prevede l'esecuzione di un binario offuscato chiamato ZUCCHERO. Questo binario è usato due volte sotto due nomi separati, tra cui .sld e .log. Viene utilizzato per l'accesso iniziale sulla macchina e nuovamente per inizializzare l'ambiente per la fase finale. Il suo scopo principale è quello di connettersi a un server C2 per scaricare ed eseguire il payload finale, KANDYKORN.
SUGARLOADER si assicurerà che il file di configurazione esista, sia letto in memoria e sia decrittografato prima di stabilire una connessione al server remoto. Il suo ultimo passo è scaricare il payload della fase finale dal server C2 ed eseguirlo. Questo attore sfrutta una tecnica nota come caricamento binario riflettente, che può essere utilizzata per eseguire un carico utile da un buffer in memoria. SUGARLOADER carica riflessivamente il binario KANDYKORN.
- Stage 3 : Durante questa fase dell'attacco, un payload chiamato HLOADER tenta di mascherarsi come l'applicazione Discord legittima. È stato identificato utilizzando una tecnica di firma del codice binario macOS precedentemente collegata all’intrusione 3CX del gruppo Lazarus.
Per la persistenza, l'attore sfrutta il dirottamento del flusso di esecuzione. Lo scopo principale del caricatore è quello di eseguire il legittimo pacchetto Discord insieme al payload .log di precedente, che viene utilizzato per eseguire i file binari Mach-O dalla memoria.
- Stage 4 KANDYKORN: KANDYKORN è l’ultima fase della catena di esecuzione ed è dotato di un set completo di funzionalità per accedere ed estrarre dati.
I suoi processi sono biforcati ed eseguiti in background come demoni prima di caricare il loro file di configurazione. Dopo aver stabilito la comunicazione, KANDYKORN attenderà i comandi dal server C2 invece di eseguire il polling per i comandi. Alcuni dei suoi comandi disponibili includono raccogliere informazioni, trasferire file, archiviare una directory ed esfiltrare, sovrascrivere ed eliminare file, uccidere i processi, generare una shell, scaricare un nuovo file di configurazione e altro ancora. Un elenco completo dei suoi comandi accettati può essere trovato nel rapporto di Elastic.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa non è la prima volta che un gruppo associato a Lazarus ha sfruttato il malware macOS. Tuttavia, indica che l'attore della minaccia potrebbe iniziare a enfatizzare il malware macOS. Mentre questo attacco sembra essere specificamente rivolto al settore delle criptovalute, molte delle altre TTP non sono uniche e quindi potrebbero apparire di nuovo in futuro.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium e inizia una conversazione.
Per ulteriori informazioni, recupera le nostre recenti informazioni sulle minacce informatiche.
