Skupina Lazarus koncem loňského roku útočila na dodavatele obranných a leteckých společností po celém světě. Cílem byla kyberšpionáž, interní data a know-how napadených organizací. Podle telemetrie společnosti ESET se cíle nacházely v řadě evropských zemí včetně České republiky, na Blízkém východě a v Latinské Americe. Útočníci zorganizovali falešnou náborovou kampaň pomocí sociálních sítí LinkedIn a WhatsApp. Skupina Lazarus je dlouhodobě spojována s Korejskou lidově demokratickou republikou.
Bezpečnostní analytici ze společnosti ESET představili své nejnovější poznatky o aktivitách APT (Advanced Persistent Threat) skupiny Lazarus. Nově zmapované útočné kampaně cílily na dodavatele obranných společností v období od konce roku 2021 do března 2022.
Podle telemetrie společnosti ESET se skupina Lazarus během těchto útoků zaměřila na společnosti v Evropě (Francie, Itálie, Německo, Nizozemsko, Polsko a Ukrajina) a Latinské Americe (Brazílie).
Ačkoli hlavním cílem kampaně byla kybernetická špionáž, Lazarus se také neúspěšně pokusil vylákat od obětí peníze. „Skupina Lazarus prokázala vynalézavost při nasazování některých skutečně velmi zajímavých nástrojů. Jedním z příkladů je komponenta, která může zneužít zranitelnost v ovladači Dell k zápisu do paměti, která je normálně přístupná pouze jádru operačního systému. Tento pokročilý trik byl použit v reálném útoku poprvé, snahou bylo obejít bezpečnostní řešení,“ uvedl Peter Kálnai, analytik společnosti ESET.
Již v roce 2020 analytici společnosti ESET zdokumentovali operaci nazvanou In(ter)ception), kterou provedli útočníci spojení se skupinou Lazarus proti evropským dodavatelům v oblasti letectví a obrany. Tato kampaň se od ostatních odlišovala tím, že využívala sociální sítě, zejména LinkedIn, k budování důvěry mezi útočníky a nic netušícími zaměstnanci, kterým pak zločinci posílali škodlivý obsah maskovaný jako popisy pracovních míst nebo žádosti o zaměstnání. Útočníci se již tehdy zaměřili na společnosti v Brazílii, České republice, Kataru, Turecku a na Ukrajině.
Analytici se zpočátku domnívali, že útoky cílily především na evropské společnosti, ale bližší pohled na aktivity proti dodavatelům obranných služeb organizované několika podskupinami zločinecké organizace Lazarus ukázal, že kampaň šla mnohem dál. Ačkoli se malware použitý v různých kampaních lišil, základní princip útoku byl vždy stejný. Falešný náborář kontaktoval zaměstnance na síti LinkedIn a poté mu zaslal škodlivý dokument.
„Útočníci opět jednali stejným způsobem jako v minulosti. Naši analytici zjistili, že recyklovali prvky legitimních náborových kampaní, aby jejich falešné kampaně vypadaly důvěryhodněji. Kromě toho využívali k šíření škodlivého obsahu také služby, jako je WhatsApp a Slack,“ říká Kálnai.
V roce 2021 obvinilo americké ministerstvo spravedlnosti tři programátory ve službách severokorejské armády z kybernetických útoků. Podle americké vlády patřili k severokorejské vojenské hackerské jednotce, která je v bezpečnostní komunitě známá jako Lazarus Group. Skupina je označována jako státem sponzorovaná hackerská skupina.