Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Lazarus

Lazarus

Peretas Lazarus sekarang mendorong malware Linux melalui tawaran pekerjaan palsu

by

Kampanye Lazarus baru yang dianggap sebagai bagian dari “Operation DreamJob” telah ditemukan menargetkan pengguna Linux dengan malware untuk pertama kalinya.

Penargetan baru ini ditemukan oleh peneliti ESET, yang mengatakan hal itu juga membantu mengonfirmasi dengan keyakinan tinggi bahwa Lazarus melakukan serangan rantai pasokan baru-baru ini pada penyedia VoIP 3CX.

Serangan itu ditemukan pada Maret 2023, membahayakan banyak perusahaan yang menggunakan klien 3CX versi trojan dengan trojan pencuri informasi.

Hari ini, Mandiant menerbitkan hasil investigasi mereka terhadap pelanggaran 3CX, yang selanjutnya menghubungkan serangan tersebut dengan aktor ancaman Korea Utara.

Mandiant mengatakan lingkungan pengembang 3CX dikompromikan setelah seorang karyawan memasang perangkat lunak perdagangan dari Trading Technologies, yang penginstalnya telah di-trojanisasi dalam serangan rantai pasokan Korea Utara lainnya.

Operasi DreamJob Lazarus, juga dikenal sebagai Nukesped, adalah operasi berkelanjutan yang menargetkan orang-orang yang bekerja di platform perangkat lunak atau DeFi dengan tawaran pekerjaan palsu di LinkedIn atau media sosial dan platform komunikasi lainnya.

Serangan rekayasa sosial ini berupaya mengelabui korban agar mengunduh file berbahaya yang disamarkan sebagai dokumen yang berisi perincian tentang posisi yang ditawarkan. Namun, dokumen tersebut justru menjatuhkan malware di komputer korban.

Selengkapnya: Bleeping Computer

Malware Linux memperkuat hubungan antara Lazarus dan serangan rantai pasokan 3CX

by

Kemiripan dengan malware Linux yang baru ditemukan yang digunakan dalam Operasi DreamJob menguatkan teori bahwa kelompok yang selaras dengan Korea Utara berada di balik serangan rantai pasokan 3CX

Peneliti ESET telah menemukan kampanye Lazarus Operation DreamJob baru yang menargetkan pengguna Linux. Operation DreamJob adalah nama untuk serangkaian kampanye di mana grup tersebut menggunakan teknik rekayasa sosial untuk mengkompromikan targetnya, dengan tawaran pekerjaan palsu sebagai iming-imingnya.

Dalam kasus ini, peneliti dapat merekonstruksi rantai penuh, dari file ZIP yang mengirimkan tawaran pekerjaan HSBC palsu sebagai umpan, hingga muatan terakhir: backdoor SimplexTea Linux yang didistribusikan melalui akun penyimpanan cloud OpenDrive. Sepengetahuan peneliti, ini adalah penyebutan publik pertama dari aktor ancaman besar yang selaras dengan Korea Utara ini menggunakan malware Linux sebagai bagian dari operasi ini.

Selain itu, penemuan ini membantu peneliti mengonfirmasi dengan tingkat kepercayaan yang tinggi bahwa serangan rantai pasokan 3CX baru-baru ini sebenarnya dilakukan oleh Lazarus – tautan yang dicurigai sejak awal dan ditunjukkan oleh beberapa peneliti keamanan sejak saat itu. Dalam posting blog ini, peneliti menguatkan temuan ini dan memberikan bukti tambahan tentang hubungan antara Lazarus dan serangan rantai pasokan 3CX.

Selengkapnya: We Live Security

FBI: Pelaku Siber Grup Lazarus yang Bertanggung Jawab atas Pencurian Mata Uang Harmony’s Horizon Bridge

by

FBI terus memerangi aktivitas siber berbahaya, termasuk ancaman yang ditimbulkan oleh Republik Rakyat Demokratik Korea (DPRK) terhadap AS dan mitra sektor swastanya.

FBI mengonfirmasi bahwa Grup Lazarus, aktor siber yang terkait dengan DPRK, bertanggung jawab atas pencurian mata uang virtual senilai $100 juta dari jembatan Harmony’s Horizon yang dilaporkan pada 24 Juni 2022.

FBI Los Angeles dan FBI Charlotte berupaya menghentikan pencucian dan pencurian mata uang virtual Korea Utara, yang digunakan untuk mendukung program rudal balistik dan Senjata Pemusnah Massal Korea Utara.

Mereka mengidentifikasi bahwa pada hari Jumat, 13 Januari 2023, aktor siber Korea Utara menggunakan protokol privasi RAILGUN untuk mencuci ethereum (ETH) yang dicuri senilai lebih dari $60 juta. Sebagian dari ethereum yang dicuri ini dikirim ke beberapa penyedia layanan aset virtual dan diubah menjadi bitcoin (BTC).

Berkoordinasi dengan beberapa penyedia layanan aset virtual, Bitcoin yang tersisa dari hasil pembekuan akan dipindahkan ke alamat berikut.

FBI menerbitkan Penasihat Keamanan Siber bersama yang menjelaskan kampanye malware “TraderTraitor” yang digunakan DPRK dalam intrusi Harmoni, bekerja sama dengan Badan Keamanan Siber dan Infrastruktur Keamanan (CISA) dan Departemen Keuangan A.S..

FBI akan terus berupaya mengungkap dan mengurangi aktivitas ilegal oleh DPRK.

Selengkapnya: FBI

Peretas Lazarus menyalahgunakan bug driver Dell menggunakan rootkit FudModule baru

by

Peretas ‘Lazarus’ memasang rootkit Windows yang menyalahgunakan driver perangkat keras Dell dalam serangan Bring Your Own Vulnerable Driver. Kampanye tersebut ditargetkan untuk pakar kedirgantaraan di Belanda dan jurnalis politik di Belgia.

Menurut ESET, yang menerbitkan laporan kampanye hari ini, tujuan utamanya adalah spionase dan pencurian data.

Target berbasis UE dari kampanye ini dikirimi email tawaran pekerjaan palsu, kali ini untuk Amazon, trik rekayasa sosial yang umum dan umum digunakan oleh para peretas pada tahun 2022.

Membuka dokumen ini akan mengunduh template jarak jauh dari alamat hardcode, diikuti oleh infeksi yang melibatkan pemuat malware, dropper, backdoor khusus, dan banyak lagi.

ESET melaporkan bahwa di antara alat yang digunakan dalam kampanye ini, yang paling menarik adalah rootkit FudModule baru yang menyalahgunakan teknik BYOVD (Bring Your Own Vulnerable Driver) untuk mengeksploitasi kerentanan pada driver perangkat keras Dell untuk pertama kalinya.

Serangan Bring Your Own Vulnerable Driver (BYOVD) adalah saat pelaku ancaman memuat driver yang sah dan ditandatangani di Windows yang juga mengandung kerentanan yang diketahui. Saat driver kernel ditandatangani, Windows akan mengizinkan driver untuk diinstal di sistem operasi.

Namun, pelaku ancaman sekarang dapat mengeksploitasi kerentanan driver untuk meluncurkan perintah dengan hak tingkat kernel.

Dalam serangan ini, Lazarus mengeksploitasi kerentanan CVE-2021-21551 di driver perangkat keras Dell (“dbutil_2_3.sys”), yang sesuai dengan serangkaian lima kelemahan yang tetap dapat dieksploitasi selama 12 tahun sebelum vendor komputer akhirnya mendorong pembaruan keamanan untuk dia.

Driver dbutil_2_3.sys yang ditandatangani Dell digunakan dalam serangan
Sumber: BleepingComputer

Pada bulan Desember 2021, para peneliti di Rapid 7 memperingatkan tentang driver khusus ini sebagai kandidat yang sangat baik untuk serangan BYOVD karena perbaikan Dell yang tidak memadai, yang memungkinkan eksekusi kode kernel bahkan pada versi terbaru yang ditandatangani.

Tampaknya Lazarus sudah sangat menyadari potensi penyalahgunaan ini dan mengeksploitasi driver Dell jauh sebelum analis keamanan mengeluarkan peringatan publik mereka.

ESET menambahkan bahwa grup tersebut menggunakan backdoor HTTP(S) khusus merek dagangnya ‘BLINDINGCAN,’ yang pertama kali ditemukan oleh intelijen AS pada Agustus 2020 dan dikaitkan dengan Lazarus oleh Kaspersky pada Oktober 2021.

Trojan akses jarak jauh (RAT) ‘BLINDINGCAN’ yang diambil sampelnya oleh ESET tampaknya berjalan dengan dukungan signifikan dari dasbor sisi server tidak berdokumen yang melakukan validasi parameter.

Backdoor mendukung serangkaian 25 perintah yang ekstensif, mencakup tindakan file, eksekusi perintah, konfigurasi komunikasi C2, pengambilan tangkapan layar, pembuatan dan penghentian proses, dan eksfiltrasi info sistem.

Alat lain yang digunakan dalam kampanye yang disajikan adalah FudModule Rootkit, pengunggah HTTP(S) yang digunakan untuk eksfiltrasi data yang aman, dan berbagai aplikasi sumber terbuka yang di-trojan seperti wolfSSL dan FingerText.

Trojanizing alat open-source adalah sesuatu yang Lazarus terus lakukan, karena laporan Microsoft kemarin menyebutkan teknik ini digunakan dengan Putty, KiTTY, TightVNC, Sumatra PDF Reader, dan penginstal perangkat lunak muPDF/Subliminal Recording.

Sumber:

Lazarus APT Korea Utara Menargetkan Chip M1 Apple

by

Advanced Persistent Threat (APT) Korea Utara Lazarus menyebarkan jaring yang lebih luas dengan kampanye Operation In(ter)ception yang sedang berlangsung, menargetkan Mac dengan chip M1 Apple.

Kelompok yang disponsori negara ini melanjutkan pendekatan yang disukai untuk meluncurkan serangan phishing dengan kedok peluang kerja palsu. Peneliti ancaman di penyedia deteksi titik akhir ESET memperingatkan minggu ini bahwa mereka menemukan Mac yang dapat dieksekusi yang disamarkan sebagai deskripsi pekerjaan untuk posisi manajer teknik di operator pertukaran cryptocurrency populer Coinbase.

Menurut peringatan ESET di Twitter, Lazarus mengunggah tawaran pekerjaan palsu ke VirusTotal dari Brasil. Lazarus merancang iterasi terbaru dari malware, Interception.dll, untuk dijalankan di Mac dengan memuat tiga file: dokumen PDF dengan posting pekerjaan Coinbase palsu dan dua executable, FinderFontsUpdater.app dan safarifontsagent, menurut peringatan tersebut. Biner dapat membahayakan Mac yang didukung baik dengan prosesor Intel dan dengan chipset M1 baru Apple.

Peneliti ESET mulai menyelidiki Operation In(ter)ception hampir tiga tahun lalu ketika para penelitinya menemukan serangan terhadap perusahaan kedirgantaraan dan militer. Mereka menentukan bahwa tujuan utama kampanye adalah spionase, meskipun juga menemukan contoh penyerang menggunakan akun email korban melalui kompromi email bisnis (BEC) untuk menyelesaikan operasi.

Malware Interception.dll memberikan tawaran pekerjaan yang menarik tetapi palsu untuk memikat korban yang tidak curiga, sering kali menggunakan LinkedIn.

Serangan Mac adalah yang terbaru dari rentetan upaya Lazarus untuk mempercepat Operasi In(ter)ception, yang telah meningkat dalam beberapa bulan terakhir. ESET menerbitkan buku putih terperinci tentang taktik oleh Lazarus dua tahun lalu.

Ironisnya, lowongan pekerjaan Coinbase yang menarik menargetkan orang-orang yang berorientasi teknis.

Apple mencabut sertifikat yang memungkinkan malware untuk dieksekusi akhir pekan lalu setelah ESET memperingatkan perusahaan tentang kampanye tersebut. Jadi sekarang, komputer dengan macOS Catalina v10.15 atau lebih baru dilindungi, dengan asumsi pengguna memiliki kesadaran keamanan dasar, catatan Kalnai.

Kampanye yang sedang berlangsung dan lainnya dari Korea Utara tetap membuat frustrasi pejabat pemerintah. FBI menyalahkan Lazarus karena mencuri $625 juta dalam cryptocurrency dari Ronin Network, yang mengoperasikan platform blockchain untuk game NFT populer Axie Infinity.

Andrew Grotto, yang menjabat sebagai direktur senior untuk kebijakan keamanan siber di Gedung Putih pada pemerintahan Obama dan Trump, mengatakan Korea Utara telah bangkit dari calon antagonis menjadi salah satu aktor ancaman paling agresif di dunia.

Sumber: Dark Reading

Operasi Ransomware Holy Ghost terkait dengan peretas Korea Utara

by

Selama lebih dari setahun, peretas Korea Utara telah menjalankan operasi ransomware yang disebut HolyGhost, menyerang usaha kecil di berbagai negara.

Para peneliti di Microsoft Threat Intelligence Center (MSTIC) melacak geng ransomware Holy Ghost sebagai DEV-0530. Dalam sebuah laporan sebelumnya hari ini, mereka mengatakan bahwa muatan pertama dari aktor ancaman ini terlihat tahun lalu pada bulan Juni.

Diklasifikasikan sebagai SiennaPurple (BTLC_C.exe), varian Ransomware Holy Ghost awal tidak datang dengan banyak fitur dibandingkan dengan versi berbasis Go berikutnya yang muncul pada Oktober 2021.

Microsoft melacak varian yang lebih baru sebagai SiennaBlue (HolyRS.exe, HolyLocker.exe, dan BTLC.exe) dan mencatat bahwa fungsinya diperluas dari waktu ke waktu untuk menyertakan beberapa opsi enkripsi, kebingungan string, manajemen kunci publik, dan dukungan internet/intranet.

Muatan ransomware Holy Ghost
Microsoft

Para peneliti mengatakan bahwa DEV-0530 berhasil mengkompromikan beberapa target, terutama usaha kecil hingga menengah. Di antara korban adalah bank, sekolah, organisasi manufaktur, dan perusahaan perencanaan acara dan pertemuan.

Aktor Holy Ghost mengikuti pola serangan ransomware yang khas dan mencuri data sebelum menerapkan rutin enkripsi pada sistem yang terinfeksi.

Penyerang meninggalkan catatan tebusan pada mesin yang disusupi dan mereka juga mengirim email kepada korban dengan tautan ke sampel data yang dicuri untuk mengumumkan bahwa mereka bersedia menegosiasikan uang tebusan dengan imbalan kunci dekripsi.

Catatan tebusan Roh Kudus
Microsoft

Biasanya, para pelaku menuntut pembayaran kecil antara 1,2 hingga 5 bitcoin, atau hingga sekitar $100.000 dengan nilai tukar saat ini.

Detail ini, tingkat serangan yang jarang, dan pemilihan korban secara acak menambah teori bahwa operasi ransomware HolyGhost mungkin tidak dikendalikan oleh pemerintah Korea Utara.

Sebaliknya, peretas yang bekerja untuk rezim Pyongyang mungkin melakukan ini sendiri, untuk keuntungan finansial pribadi.

Koneksi dengan kelompok peretas yang didukung negara hadir, karena MSTIC menemukan komunikasi antara akun email milik HolyGhost dan Andariel, aktor ancaman bagian dari Grup Lazarus di bawah Biro Umum Pengintaian Korea Utara.

Hubungan antara kedua kelompok menjadi lebih kuat dengan fakta bahwa keduanya “beroperasi dari set infrastruktur yang sama, dan bahkan menggunakan pengontrol malware khusus dengan nama yang mirip,” kata para peneliti.

Situs web Holy Ghost sedang down saat ini tetapi penyerang menggunakan visibilitas kecil yang dimilikinya untuk berpura-pura sebagai entitas yang sah yang mencoba membantu korban meningkatkan postur keamanan mereka.

Seperti aktor lain dalam bisnis ransomware, Holy Ghost meyakinkan para korban bahwa mereka tidak akan menjual atau membocorkan data yang dicuri jika mereka dibayar.

Laporan Microsoft mencakup serangkaian tindakan yang direkomendasikan untuk mencegah infeksi dengan muatan HolyGhost serta beberapa indikator kompromi yang ditemukan saat menyelidiki malware.

Sumber: Bleeping Computer

Peretas Menggunakan Tawaran Pekerjaan Palsu untuk Meretas dan Mencuri $540 Juta dari Axie Infinity

by

Peretasan Bridge Ronin Axie Infinity senilai $ 540 juta pada akhir Maret 2022 adalah konsekuensi dari salah satu mantan karyawannya yang ditipu oleh tawaran pekerjaan palsu di LinkedIn, telah muncul.

Menurut sebuah laporan, seorang insinyur senior di perusahaan tersebut ditipu untuk melamar pekerjaan di perusahaan yang tidak ada, menyebabkan individu tersebut mengunduh dokumen penawaran palsu yang disamarkan sebagai PDF.

Dokumen penawaran kemudian bertindak sebagai saluran untuk menyebarkan malware yang dirancang untuk menembus jaringan Ronin, yang pada akhirnya memfasilitasi salah satu peretasan terbesar di sektor kripto hingga saat ini.

“Karyawan Sky Mavis berada di bawah serangan spear-phishing tingkat lanjut yang konstan di berbagai saluran sosial dan satu karyawan dikompromikan,” kata perusahaan itu dalam analisis post-mortem pada bulan April.

“Karyawan ini tidak lagi bekerja di Sky Mavis. Penyerang berhasil memanfaatkan akses itu untuk menembus infrastruktur TI Sky Mavis dan mendapatkan akses ke node validator.”

Pada April 2022, Departemen Keuangan AS melibatkan Grup Lazarus yang didukung Korea Utara dalam insiden tersebut, dengan menyebut sejarah serangan kolektif musuh yang menargetkan sektor cryptocurrency untuk mengumpulkan dana bagi kerajaan pertapa.

Tawaran pekerjaan palsu telah lama digunakan oleh ancaman terus-menerus yang canggih sebagai iming-iming rekayasa sosial, sejak Agustus 2020 hingga kampanye yang dijuluki oleh perusahaan keamanan siber Israel ClearSky sebagai “Operation Dream Job.”

Dalam Laporan Ancaman T1 untuk tahun 2022, ESET mencatat bagaimana aktor yang beroperasi di bawah payung Lazarus telah menggunakan tawaran pekerjaan palsu melalui media sosial seperti LinkedIn sebagai strategi mereka untuk menyerang kontraktor pertahanan dan perusahaan kedirgantaraan.

Sementara Bridge Ethereum Ronin diluncurkan kembali pada bulan Juni, tiga bulan setelah peretasan, Grup Lazarus juga diduga berada di balik pencurian altcoin senilai $100 juta baru-baru ini dari Jembatan Harmony Horizon.

Temuan ini juga datang ketika proyek blockchain yang berpusat di sekitar Web 3.0 telah kehilangan lebih dari $2 miliar karena peretasan dan eksploitasi dalam enam bulan pertama tahun ini, audit blockchain dan perusahaan keamanan CertiK mengungkapkan dalam sebuah laporan minggu lalu.

Sumber : The Hacker News

Peretas Lazarus menargetkan server VMware dengan eksploitasi Log4Shell

by

Kelompok peretas Korea Utara yang dikenal sebagai Lazarus mengeksploitasi kerentanan eksekusi kode jarak jauh Log4J untuk menyuntikkan pintu belakang yang mengambil muatan pencuri informasi di server VMware Horizon.

Kerentanan dilacak sebagai CVE-2021-44228, alias Log4Shell, dan berdampak pada banyak produk, termasuk VMware Horizon.

Eksploitasi penyebaran Horizon yang rentan dimulai pada Januari 2022, tetapi banyak admin belum menerapkan pembaruan keamanan yang tersedia.

Menurut laporan yang diterbitkan oleh analis di ASEC Ahnlab, Lazarus telah menargetkan produk VMware yang rentan melalui Log4Shell sejak April 2022.

Untuk memulai serangan, pelaku ancaman mengeksploitasi kerentanan Log4j melalui layanan Apache Tomcat Vmware Horizon untuk menjalankan perintah PowerShell. Perintah PowerShell ini pada akhirnya akan mengarah pada pemasangan pintu belakang NukeSped di server.

Log untuk instalasi NukeSped (ASEC)

NukeSped (atau NukeSpeed) adalah malware backdoor yang pertama kali dikaitkan dengan peretas DPRK pada musim panas 2018 dan kemudian ditautkan ke kampanye 2020 yang diatur oleh Lazarus.

Varian terbaru yang diambil sampelnya dan dianalisis oleh ASEC ditulis dalam C++ dan menggunakan enkripsi RC4 untuk berkomunikasi secara aman dengan infrastruktur C2. Sebelumnya, ini menggunakan XOR.

NukeSped melakukan berbagai operasi spionase di lingkungan yang disusupi, seperti mengambil tangkapan layar, merekam penekanan tombol, mengakses file, dll. Selain itu, NukeSped mendukung perintah baris perintah.

Dua modul baru yang terlihat pada varian NukeSped saat ini adalah satu untuk membuang konten USB dan satu untuk mengakses perangkat kamera web.

Lazarus menggunakan NukeSped untuk menginstal malware pencuri informasi berbasis konsol tambahan, yang mengumpulkan informasi yang disimpan di browser web.

Pencuri info mengambil data dari browser (ASEC)

Lebih khusus lagi, malware yang dianalisis oleh ASEC dapat mencuri data berikut:

  • Kredensial akun dan riwayat penelusuran disimpan di Google Chrome, Mozilla Firefox, Internet Explorer, Opera, dan Naver Whale.
  • Informasi akun email yang disimpan di Outlook Express, MS Office Outlook, dan Windows Live Mail.
  • Nama file yang baru saja digunakan dari MS Office (PowerPoint, Excel, dan Word) dan Hancom 2010.
  • Dalam beberapa serangan, Lazarus terlihat menggunakan Jin Miner alih-alih NukeSped dengan memanfaatkan Log4Shell.

      • Karena Jin Miner adalah penambang cryptocurrency, Lazarus mungkin menggunakannya pada sistem yang kurang kritis yang ditargetkan untuk keuntungan moneter daripada spionase dunia maya.

      Sejak awal tahun, Lazarus terlihat menggunakan LoLBins dalam kampanye penargetan Windows dan aplikasi cryptocurrency berbahaya untuk menyusup ke komputer Windows dan macOS.

      Eksploitasi Log4Shell muncul di atas ini untuk menggarisbawahi berbagai taktik yang digunakan oleh kelompok peretasan dan untuk menggarisbawahi bahwa kelemahan RCE yang kritis tetap menjadi masalah keamanan yang signifikan.

      Pada bulan Maret, sebagian besar upaya eksploitasi dilakukan oleh botnet, sehingga banyak yang berasumsi bahwa penargetan berfokus pada sistem yang kurang diperhatikan dengan baik dan kurang penting.

      Pada bulan April, analis keamanan mengingatkan publik bahwa permukaan serangan Log4Shell tetap besar dan akan bertahan lama karena tantangan praktis.

      Sumber: Bleeping Computer