Noord-Korea hackers richt zich op luchtvaartbedrijf in Nederland en politiek journalist in België

Gepubliceerd op 30 september 2022 om 16:00

First click here and then choose your language with the Google translate bar at the top of this page ↑

Onderzoekers hebben een set kwaadaardige tools ontdekt en geanalyseerd, die werden gebruikt door de beruchte Lazarus APT-groep in aanvallen eind 2021. De aanvallen begonnen met spearphishing e-mails, die kwaadaardige documenten in Amazon-thema bevatten, en waren gericht op een werknemer van een luchtvaartbedrijf in Nederland en een politiek journalist in België. Het primaire doel van de aanvallers was het stelen van data.

Beide slachtoffers kregen een werkaanbod: de werknemer in Nederland ontving een bijlage via LinkedIn Messaging en de journalist in België ontving een document via e-mail. De aanvallen begonnen nadat deze documenten waren geopend. De aanvallers zetten verschillende kwaadaardige tools in op de systemen van de slachtoffers, waaronder droppers, loaders, volledig uitgeruste HTTP(S)-backdoors en HTTP(S)-uploaders.

Kwetsbaarheid Dell driver misbruikt

Het meest opvallende middel dat door de aanvallers ingezet werd, was een user-mode module, die de mogelijkheid kreeg om het kernelgeheugen te lezen en te overschrijven als gevolg van de CVE-2021-21551 kwetsbaarheid in een legitieme Dell driver. Deze kwetsbaarheid treft de Dell DBUtil-drivers; Dell heeft in mei 2021 een beveiligingsupdate uitgebracht om deze kwetsbaarheid te dichten. Dit is het eerste geregistreerde misbruik van deze kwetsbaarheid in het wild.

"De aanvallers gebruikten vervolgens hun schrijftoegang tot het kernelgeheugen om zeven mechanismen uit te schakelen die het Windows-besturingssysteem biedt om zijn acties te controleren, zoals register, bestandssysteem, procesaanmaak, event tracing, etc., waardoor beveiligingsoplossingen in feite op een zeer generieke en robuuste manier werden verblind en de aanval niet opmerkten", verklaart ESET-onderzoeker Peter Kálnai, die de aanvallen ontdekte. "Het gebeurde niet alleen in de kernelruimte, maar ook op een robuuste manier, met behulp van een reeks weinig of niet gedocumenteerde Windows-internals. Dit vereiste ongetwijfeld diepgaand onderzoek, ontwikkeling en testvaardigheden," voegt hij eraan toe.

Lazarus gebruikte ook een volledig uitgeruste HTTP(S)-backdoor bekend als BLINDINGCAN. Volgens ESET heeft deze remote access trojan (RAT) een complexe server-side controller met een gebruiksvriendelijke interface waarmee de operator gecompromitteerde systemen kan controleren en verkennen.

Aanval via malafide bijlage 

In Nederland trof de aanval een Windows 10-computer die was aangesloten op het bedrijfsnetwerk, waar een werknemer via LinkedIn Messaging werd benaderd over een mogelijke nieuwe baan, waarop vervolgens een e-mail met een documentbijlage werd verstuurd. Het Word-bestand Amzon_Netherlands.docx dat naar het slachtoffer werd gestuurd, is slechts een schetsdocument met een Amazon-logo. Onderzoekers van ESET konden het sjabloon op afstand niet bemachtigen, maar ze nemen aan dat het mogelijk een baanaanbod bevatte voor het Amazon-ruimtevaartprogramma Project Kuiper. Dit is een methode die Lazarus toepaste in de Operation In(ter)ception en Operation DreamJob aanvallen gericht op de luchtvaart- en defensie-industrie.

Gezien het aantal commando’s dat de aanvallers ter beschikking staat, is het waarschijnlijk dat men op afstand de geïnfecteerde systemen heeft kunnen aansturen. De meer dan twintig beschikbare commando's omvatten het downloaden, uploaden, herschrijven en verwijderen van bestanden, en het maken van schermafbeeldingen.

"Bij deze aanval, evenals bij vele andere die aan Lazarus worden toegeschreven, zagen we dat er veel tools werden verspreid, zelfs op één enkel doelwit in een interessant netwerk. Zonder twijfel is het team achter de aanval vrij groot, systematisch georganiseerd en uitstekend voorbereid," zegt Kálnai.

Lazarus-groepering

ESET Research schrijft deze aanvallen met grote zekerheid toe aan de Lazarus-groepering. De diversiteit, het aantal en de excentriciteit in de uitvoering van Lazarus-aanvallen kenmerken deze groep, evenals het feit dat het alle drie de pijlers van cybercriminele activiteiten uitvoert: cyberspionage, cybersabotage en het nastreven van financieel gewin. Lazarus (ook bekend als HIDDEN COBRA) is ten minste sinds 2009 actief. Het is verantwoordelijk voor verschillende incidenten. Dit onderzoek is gepresenteerd op de Virus Bulletin conferentie van dit jaar. De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.

Amazon Themed Campaigns Of Lazarus In The Netherlands And Belgium
PDF – 845,7 KB 142 downloads

Bron: virusbulletin.com, welivesecurity.com

Blijf op de hoogte en schrijf je in voor de wekelijkse nieuwsbrief op zondag om 19:00

Actuele aanvallen overzicht per dag

Ernstige kwetsbaarheden

Rapporten bekijken of downloaden

Meer actueel nieuws

CEO fraude nu en in de toekomst

Waar oplichters zich vroeger vooral op de gewone burger richtten, komt het nu steeds vaker voor dat criminelen hun snelle babbeltruc aan de deur inruilen voor een cyberaanval op lange termijn, met uitzicht op een aanzienlijk hogere opbrengst. Een van de meest populaire oplichtingstechnieken staat bekend als CEO fraude. Wat is dit precies, en hoe werkt het? We duiken in de wereld van CEO fraude om je te leren hoe je het fenomeen herkent en hoe je jezelf en jouw organisatie er tegen wapent.

Lees meer »

‘Cyberweerbaarheid vraagt om maatwerk’

Het is erg moeilijk om het gedrag van mensen te veranderen, zeker als het om de weerbaarheid tegen cybercriminaliteit gaat. Daarom ontwikkelen twee lectoren van de Hogeschool Saxion en de Haagse Hogeschool samen met gemeentes een aanpak die gericht is op specifieke doelgroepen. “We zijn ervan overtuigd dat dat effectiever is dan een one-size-fits-all-benadering.”

Lees meer »

"Overheid neemt nationale veiligheid onvoldoende serieus"

De overheid neemt onze nationale veiligheid onvoldoende serieus, stelt Inge Bryan. Ze is CEO van Fox-IT, de grootste ict-beveiliger van Nederland. 'Het is onbegrijpelijk dat het onderwerp alweer niet op de formatietafel ligt. Dat heeft ook met ego's te maken: als je het niet snapt, dan wil je er ook niet over praten.'

Lees meer »

Veel smartphones worden momenteel aangevallen

De laatste dagen maken veel Nederlanders melding van vreemde sms'jes. Er gaan twee varianten rond: de eerste variant gaat over 'gemiste oproepen en achtergelaten voicemailberichten', de tweede over 'pakketten die niet konden worden bezorgd'. De spelling van de sms'jes laat in beide gevallen vaak te wensen over, er wordt verwezen naar willekeurige, vage links én er staan vaak onlogische karakterreeksen in de tekst. Wat is dat precies? Wat zit erachter? En is er sprake van malware of oplichting?

Lees meer »

Overzicht cyberaanvallen week 34-2021

FBI deelt technische details over Hive-ransomware, Ragnarok ransomware cybercriminelen geven master decryptor key vrij en script van een ransomware bende toont precies de bestanden die ze zoeken. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.

Lees meer »