Lazarus richt zich op defensie-industrie

kaspersky-lab

Kaspersky heeft een nieuwe campagne geïdentificeerd van Lazarus, een zeer productieve geavanceerde dreigingsactor. Lazarus is actief vanaf ten minste 2009 en is betrokken geweest bij grootschalige cyberspionagecampagnes, ransomware-campagnes en zelfs aanvallen op de cryptocurrency-markt. Waar het zich de afgelopen jaren op financiële instellingen richtte, valt Lazarus sinds begin 2020 de defensie-industrie aan via een aangepaste backdoor genaamd ThreatNeedle.

Kaspersky ontdekte de campagne toen het werd ingeschakeld om te helpen bij de incident response. De onderzoekers ontdekten dat de betreffende organisatie het slachtoffer was geworden van een aanval via aangepaste backdoor. Deze achterdeur wordt ThreatNeedle genoemd en beweegt lateraal in geïnfecteerde netwerken en verkrijgt hierdoor vertrouwelijke informatie. Tot nu toe zijn organisaties getroffen in meer dan een twaalf landen.

Werkwijze Lazarus 

De eerste infectie vindt plaats via spear phishing; doelwitten ontvangen e-mails met een kwaadaardige Word-bijlage of een link naar een document op de bedrijfsserver. Vaak beweerden de e-mails dat er dringende updates nodig waren, gerelateerd aan de pandemie en zogenaamd afkomstig van een gerespecteerd medisch centrum. 
 
Zodra het schadelijke document is geopend, wordt de malware verwijderd en gaat deze door naar de volgende fase van het implementatieproces. De ThreatNeedle-malware die in deze campagne wordt gebruikt, behoort tot een familie die bekend staat als Manuscrypt. Deze malwarefamilie is van Lazarus en eerder gebruikt bij aanvallen op cryptocurrency-bedrijven. Eenmaal geïnstalleerd, kan ThreatNeedle volledige controle krijgen over het apparaat en allerlei acties uitvoeren; van het manipuleren van bestanden tot het uitvoeren van ontvangen opdrachten. 
 
Opmerkelijk in deze campagne is het vermogen van de groep om gegevens te stelen van zowel IT-netwerken op kantoor, als het afgeschermde netwerk van een centrale (een netwerk met bedrijf-kritische activa en computers met zeer gevoelige gegevens en geen toegang tot het internet). Volgens het bedrijfsbeleid mag er geen informatie worden overgedragen tussen deze twee netwerken. Beheerders kunnen echter verbinding maken met beide netwerken om deze systemen te onderhouden. Lazarus was in staat om controle te krijgen over de werkstations van beheerders en vervolgens een kwaadaardige gateway op te zetten om het afgeschermde netwerk aan te vallen en vertrouwelijke gegevens te stelen en verkrijgen. 
 
“Lazarus was misschien wel de meest actieve dreigingsactor van 2020 en het lijkt er niet op dat dit snel gaat veranderen. Sterker nog, het Threat Analysis Team van Google meldde al in januari van dit jaar dat Lazarus dezelfde achterdeur gebruikte om zich op beveiligingsonderzoekers te richten. We verwachten in de toekomst meer van ThreatNeedle te zien en we houden het in de gaten”, zegt Seongsu Park, senior beveiligingsonderzoeker bij het Global Research and Analysis Team (GReAT). 

“Lazarus is naast zeer productief, ook erg geavanceerd. Ze waren niet alleen in staat om netwerksegmentatie te overwinnen. Daarnaast deden ze ook uitgebreid onderzoek om zeer gepersonaliseerde en effectieve spear phishing-e-mails te maken en aangepaste tools te bouwen om de gestolen informatie naar een externe server te verplaatsen. Nu industrieën nog steeds te maken hebben met werken op afstand en daardoor kwetsbaarder zijn, is het belangrijk dat organisaties extra veiligheidsmaatregelen nemen om zich te beschermen tegen dit soort geavanceerde aanvallen”, voegt Vyacheslav Kopeytsev toe, beveiligingsexpert bij Kaspersky ICS CERT. 
 
Kaspersky-experts raden het volgende aan, om organisaties te beschermen tegen aanvallen, zoals ThreatNeedle: 

  • Geef personeel een basistraining op het gebied van cybersecurityhygiëne, aangezien veel gerichte aanvallen beginnen met phishing of andere social engineering-technieken. 

  • Als een onderneming over operationele technologie (OT) of kritieke infrastructuur beschikt, zorg er dan voor dat deze gescheiden is van een bedrijfsnetwerk, of dat er geen ongeautoriseerde verbindingen zijn. 

  • Zorg ervoor dat medewerkers zich bewust zijn van het cyberbeveiligingsbeleid en dit volgen. 

  • Geef het SOC-team toegang tot de nieuwste Threat Intelligence (TI). De Kaspersky Threat Intelligence Portal is een enkel toegangspunt voor de TI van het bedrijf en biedt cyberaanvalgegevens en inzichten die zijn verzameld over de afgelopen 20 jaar. 

  • Implementeer een beveiligingsoplossing op bedrijfsniveau die geavanceerde bedreigingen op netwerkniveau in een vroeg stadium detecteert, zoals Kaspersky Anti Targeted Attack Platform

  • Het wordt ook aanbevolen om een ​​speciale oplossing voor industriële knooppunten en netwerken te implementeren die OT-netwerkverkeer monitoring, analyse en detectie van bedreigingen mogelijk maakt - zoals Kaspersky Industrial CyberSecurity

 Lees meer over de ThreatNeedle-campagne op de Kaspersky ICS CERT-website

 

 

Lees ook
KPN Security publiceert Cyber Security Perspectives

KPN Security publiceert Cyber Security Perspectives

De eerste editie van het vernieuwde magazine Cyber Security Perspectives is nu beschikbaar. Deze jaarlijkse publicatie van KPN Security focust zich op de digitale weerbaarheid van Nederland. Doel is het delen van kennis en expertise over cybersecurity.

4 tips voor proactieve dreigingsdetectie en -respons

4 tips voor proactieve dreigingsdetectie en -respons

Het blijft lastig voor organisaties om af te stappen van een reactieve aanpak van dreigingsdetectie en respons. De volgende vier tips kunnen beveiligingsprofessionals helpen om een proactieve benadering te omarmen.

Cybercriminelen spelen in op COVID-19-steun, vaccins, en meer

Cybercriminelen spelen in op COVID-19-steun, vaccins, en meer

Terwijl het vaccinatieprogramma voor COVID-19 op gang begint te komen, blijven cybercriminelen de aanhoudende crisis gebruiken om angsten uit te buiten. Aanvallen met een coronagerelateerd thema zijn nog steeds aan de orde van de dag. Proofpoint heeft zelfs nog nooit eerder meegemaakt dat één bepaald thema zo vaak en zo lang het cyberlandschap heeft...