First click here and then choose your language with the Google translate bar at the top of this page ↑
Onderzoekers hebben een set kwaadaardige tools ontdekt en geanalyseerd, die werden gebruikt door de beruchte Lazarus APT-groep in aanvallen eind 2021. De aanvallen begonnen met spearphishing e-mails, die kwaadaardige documenten in Amazon-thema bevatten, en waren gericht op een werknemer van een luchtvaartbedrijf in Nederland en een politiek journalist in België. Het primaire doel van de aanvallers was het stelen van data.
Beide slachtoffers kregen een werkaanbod: de werknemer in Nederland ontving een bijlage via LinkedIn Messaging en de journalist in België ontving een document via e-mail. De aanvallen begonnen nadat deze documenten waren geopend. De aanvallers zetten verschillende kwaadaardige tools in op de systemen van de slachtoffers, waaronder droppers, loaders, volledig uitgeruste HTTP(S)-backdoors en HTTP(S)-uploaders.
Kwetsbaarheid Dell driver misbruikt
Het meest opvallende middel dat door de aanvallers ingezet werd, was een user-mode module, die de mogelijkheid kreeg om het kernelgeheugen te lezen en te overschrijven als gevolg van de CVE-2021-21551 kwetsbaarheid in een legitieme Dell driver. Deze kwetsbaarheid treft de Dell DBUtil-drivers; Dell heeft in mei 2021 een beveiligingsupdate uitgebracht om deze kwetsbaarheid te dichten. Dit is het eerste geregistreerde misbruik van deze kwetsbaarheid in het wild.
"De aanvallers gebruikten vervolgens hun schrijftoegang tot het kernelgeheugen om zeven mechanismen uit te schakelen die het Windows-besturingssysteem biedt om zijn acties te controleren, zoals register, bestandssysteem, procesaanmaak, event tracing, etc., waardoor beveiligingsoplossingen in feite op een zeer generieke en robuuste manier werden verblind en de aanval niet opmerkten", verklaart ESET-onderzoeker Peter Kálnai, die de aanvallen ontdekte. "Het gebeurde niet alleen in de kernelruimte, maar ook op een robuuste manier, met behulp van een reeks weinig of niet gedocumenteerde Windows-internals. Dit vereiste ongetwijfeld diepgaand onderzoek, ontwikkeling en testvaardigheden," voegt hij eraan toe.
Lazarus gebruikte ook een volledig uitgeruste HTTP(S)-backdoor bekend als BLINDINGCAN. Volgens ESET heeft deze remote access trojan (RAT) een complexe server-side controller met een gebruiksvriendelijke interface waarmee de operator gecompromitteerde systemen kan controleren en verkennen.
Aanval via malafide bijlage
In Nederland trof de aanval een Windows 10-computer die was aangesloten op het bedrijfsnetwerk, waar een werknemer via LinkedIn Messaging werd benaderd over een mogelijke nieuwe baan, waarop vervolgens een e-mail met een documentbijlage werd verstuurd. Het Word-bestand Amzon_Netherlands.docx dat naar het slachtoffer werd gestuurd, is slechts een schetsdocument met een Amazon-logo. Onderzoekers van ESET konden het sjabloon op afstand niet bemachtigen, maar ze nemen aan dat het mogelijk een baanaanbod bevatte voor het Amazon-ruimtevaartprogramma Project Kuiper. Dit is een methode die Lazarus toepaste in de Operation In(ter)ception en Operation DreamJob aanvallen gericht op de luchtvaart- en defensie-industrie.
Gezien het aantal commando’s dat de aanvallers ter beschikking staat, is het waarschijnlijk dat men op afstand de geïnfecteerde systemen heeft kunnen aansturen. De meer dan twintig beschikbare commando's omvatten het downloaden, uploaden, herschrijven en verwijderen van bestanden, en het maken van schermafbeeldingen.
"Bij deze aanval, evenals bij vele andere die aan Lazarus worden toegeschreven, zagen we dat er veel tools werden verspreid, zelfs op één enkel doelwit in een interessant netwerk. Zonder twijfel is het team achter de aanval vrij groot, systematisch georganiseerd en uitstekend voorbereid," zegt Kálnai.
Lazarus-groepering
ESET Research schrijft deze aanvallen met grote zekerheid toe aan de Lazarus-groepering. De diversiteit, het aantal en de excentriciteit in de uitvoering van Lazarus-aanvallen kenmerken deze groep, evenals het feit dat het alle drie de pijlers van cybercriminele activiteiten uitvoert: cyberspionage, cybersabotage en het nastreven van financieel gewin. Lazarus (ook bekend als HIDDEN COBRA) is ten minste sinds 2009 actief. Het is verantwoordelijk voor verschillende incidenten. Dit onderzoek is gepresenteerd op de Virus Bulletin conferentie van dit jaar. De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.
Bron: virusbulletin.com, welivesecurity.com
Blijf op de hoogte en schrijf je in voor de wekelijkse nieuwsbrief op zondag om 19:00
Meer actueel nieuws
Ransomware gijzelt museum in Veendam en datalek bij Frans ministerie treft miljoenen
De afgelopen achtenveertig uur werd het digitale landschap getekend door een scherp contrast tussen gerichte aanvallen op lokaal erfgoed en fundamentele discussies over de robuustheid van onze financiële infrastructuur. Terwijl Nederlandse instellingen worstelen met de directe gevolgen van cybercriminaliteit en de maatschappelijke impact van digitalisering, zien we wereldwijd hoe geavanceerde malware en kwetsbaarheden in essentiële software de druk op IT beveiliging verder opvoeren.
Chinese restricties in kritieke infrastructuur en digitale heling van fysieke buit
De afgelopen 72 uur werd het cyberdomein gedomineerd door een samenspel van geopolitieke manoeuvres en criminelen die de grenzen tussen fysieke diefstal en digitale criminaliteit doen vervagen. Terwijl de Europese Commissie concrete stappen voorbereidt om Chinese technologie uit vitale systemen te weren, zien we in de Benelux hoe de handel in gestolen fysieke goederen zich verplaatst naar online platforms. Tegelijkertijd worden organisaties wereldwijd geconfronteerd met ernstige kwetsbaarheden in essentiële netwerkapparatuur en cloudomgevingen, wat de noodzaak voor acute waakzaamheid bij zowel overheden als bedrijven onderstreept.
NB401: Datalek bij Instagram en ransomware in Antwerpen en Nederlandse politieactie tegen chatgroepen
➤ VOLG ONS OP SPOTIFY »
Antwerps ziekenhuis draait op halve kracht door ransomware en toename van fraude via Booking.com in Nederland
De afgelopen twee dagen stonden in het teken van ernstige verstoringen binnen de medische sector en een reeks onthullingen over staatsgebonden cyberoperaties. Terwijl ziekenhuispersoneel in onze regio noodgedwongen terugvalt op papierwerk na een gijzelingsaanval, worden burgers internationaal geconfronteerd met grootschalige datalekken en geraffineerde oplichtingstrucs. Tegelijkertijd woedt er een technologische wapenwedloop tussen grootmachten, waarbij kwantumtechnologie en kunstmatige intelligentie het strijdtoneel herdefiniëren.
Gijzelsoftware ontregelt ziekenhuis in Antwerpen en kritiek lek in mailservers bedreigt Benelux
De gebeurtenissen van de afgelopen dag tonen aan hoe kwetsbaar vitale sectoren zijn voor digitale ontwrichting, met een directe impact op ziekenhuizen en een reeks waarschuwingen voor ernstige softwarefouten die systemen in onze regio bedreigen. Terwijl zorginstellingen noodgedwongen overschakelen op noodprocedures vanwege gijzelsoftware, worden bedrijven en overheden geconfronteerd met geavanceerde spionagetactieken en grootschalige datadiefstal die de privacy van miljoenen mensen raakt.
Apeldoorn - Phishing
Een man uit Apeldoorn is het slachtoffer geworden van een geraffineerde phishingzaak, waarbij oplichters hem €2000 afhandig maakten. Na een listige truc met een nieuwe bankpas is de politie op zoek naar een verdachte, van wie dankzij een alerte getuige een foto beschikbaar is.