Analytici společnosti ESET objevili nový útok malwaru Wslink, který je využíván pro kyberšpionáž. Následnou analýzou bylo zjištěno, že tento škodlivý kód byl využit pro zločinecké aktivity v několika zemích Severní Ameriky, Blízkého východu a střední Evropy. ESET může potvrdit, že tento malware byl detekován i v České republice. Podle všech dostupných informací za ním stojí kyberkriminální APT skupina Lazarus, která má vazby na režim v Severní Koreji.
„Útočníci pomocí škodlivého kódu mají možnost vniknout do vnitřní sítě napadené organizace skrze útočníkem vytvořená zadní vrátka – tuto roli hraje v námi popsaném útoku jeden z modulů programu Wslink – backdoor WinorDLL64. Malware pak může získat v podstatě libovolné informace, které mohou útočníci následně zpeněžit, nebo využít takto získaná data pro špionáž. Objevený backdoor dokáže exfiltrovat, přepisovat a odstraňovat soubory, spouštět příkazy a získávat rozsáhlé informace o systému,“ říká Vladislav Hrčka, výzkumný analytik společnosti ESET, který aktuální útok objevil.
„Technicky přesně lze detekovaný útok popsat následovně – Wslink, který obsahuje soubor s názvem WinorLoaderDLL64.dll, je loader binárních souborů systému Windows, který funguje jako server a spouští přijaté moduly v paměti. Jedná se tak o univerzální jádro čekající na napadeném zařízení na dodání dalšího škodlivého kódu, který pak provede konkrétní, závadnou akci, tedy vpuštění vlastního malwaru do již napadeného systému. Díky své modularitě a schopnosti stáhnout a zavést další modul může být později využíván také k dalším krokům. Wslink naslouchá na portu uvedeném v konfiguraci a může obsluhovat další připojující se klienty a načítat další škodlivé kódy,“ vysvětluje Hrčka.
WinorDLL64 se svou podobou i chováním překrývá s několika vzorky skupiny Lazarus, což naznačuje, že by mohlo jít o nástroj z rozsáhlého arzenálu této severokorejské APT skupiny.
Skupina Lazarus je aktivní nejméně od roku 2009. Má na svědomí známé incidenty, jako je například útok na společnost Sony Pictures Entertainment, kybernetické loupeže za desítky milionů dolarů v roce 2016, masivní rozšíření ransmowaru WannaCryptor (alias WannaCry) v roce 2017 a dlouhou historii útoků narušujících jihokorejskou veřejnou a kritickou infrastrukturu, a to nejméně od roku 2011. Americké organizace US-CERT a FBI tuto skupinu nazývají HIDDEN COBRA.