Lazarus richt zich op defensie-industrie

kaspersky-lab

Kaspersky heeft een nieuwe campagne geïdentificeerd van Lazarus, een zeer productieve geavanceerde dreigingsactor. Lazarus is actief vanaf ten minste 2009 en is betrokken geweest bij grootschalige cyberspionagecampagnes, ransomware-campagnes en zelfs aanvallen op de cryptocurrency-markt. Waar het zich de afgelopen jaren op financiële instellingen richtte, valt Lazarus sinds begin 2020 de defensie-industrie aan via een aangepaste backdoor genaamd ThreatNeedle.

Kaspersky ontdekte de campagne toen het werd ingeschakeld om te helpen bij de incident response. De onderzoekers ontdekten dat de betreffende organisatie het slachtoffer was geworden van een aanval via aangepaste backdoor. Deze achterdeur wordt ThreatNeedle genoemd en beweegt lateraal in geïnfecteerde netwerken en verkrijgt hierdoor vertrouwelijke informatie. Tot nu toe zijn organisaties getroffen in meer dan een twaalf landen.

Werkwijze Lazarus 

De eerste infectie vindt plaats via spear phishing; doelwitten ontvangen e-mails met een kwaadaardige Word-bijlage of een link naar een document op de bedrijfsserver. Vaak beweerden de e-mails dat er dringende updates nodig waren, gerelateerd aan de pandemie en zogenaamd afkomstig van een gerespecteerd medisch centrum. 
 
Zodra het schadelijke document is geopend, wordt de malware verwijderd en gaat deze door naar de volgende fase van het implementatieproces. De ThreatNeedle-malware die in deze campagne wordt gebruikt, behoort tot een familie die bekend staat als Manuscrypt. Deze malwarefamilie is van Lazarus en eerder gebruikt bij aanvallen op cryptocurrency-bedrijven. Eenmaal geïnstalleerd, kan ThreatNeedle volledige controle krijgen over het apparaat en allerlei acties uitvoeren; van het manipuleren van bestanden tot het uitvoeren van ontvangen opdrachten. 
 
Opmerkelijk in deze campagne is het vermogen van de groep om gegevens te stelen van zowel IT-netwerken op kantoor, als het afgeschermde netwerk van een centrale (een netwerk met bedrijf-kritische activa en computers met zeer gevoelige gegevens en geen toegang tot het internet). Volgens het bedrijfsbeleid mag er geen informatie worden overgedragen tussen deze twee netwerken. Beheerders kunnen echter verbinding maken met beide netwerken om deze systemen te onderhouden. Lazarus was in staat om controle te krijgen over de werkstations van beheerders en vervolgens een kwaadaardige gateway op te zetten om het afgeschermde netwerk aan te vallen en vertrouwelijke gegevens te stelen en verkrijgen. 
 
“Lazarus was misschien wel de meest actieve dreigingsactor van 2020 en het lijkt er niet op dat dit snel gaat veranderen. Sterker nog, het Threat Analysis Team van Google meldde al in januari van dit jaar dat Lazarus dezelfde achterdeur gebruikte om zich op beveiligingsonderzoekers te richten. We verwachten in de toekomst meer van ThreatNeedle te zien en we houden het in de gaten”, zegt Seongsu Park, senior beveiligingsonderzoeker bij het Global Research and Analysis Team (GReAT). 

“Lazarus is naast zeer productief, ook erg geavanceerd. Ze waren niet alleen in staat om netwerksegmentatie te overwinnen. Daarnaast deden ze ook uitgebreid onderzoek om zeer gepersonaliseerde en effectieve spear phishing-e-mails te maken en aangepaste tools te bouwen om de gestolen informatie naar een externe server te verplaatsen. Nu industrieën nog steeds te maken hebben met werken op afstand en daardoor kwetsbaarder zijn, is het belangrijk dat organisaties extra veiligheidsmaatregelen nemen om zich te beschermen tegen dit soort geavanceerde aanvallen”, voegt Vyacheslav Kopeytsev toe, beveiligingsexpert bij Kaspersky ICS CERT. 
 
Kaspersky-experts raden het volgende aan, om organisaties te beschermen tegen aanvallen, zoals ThreatNeedle: 

  • Geef personeel een basistraining op het gebied van cybersecurityhygiëne, aangezien veel gerichte aanvallen beginnen met phishing of andere social engineering-technieken. 

  • Als een onderneming over operationele technologie (OT) of kritieke infrastructuur beschikt, zorg er dan voor dat deze gescheiden is van een bedrijfsnetwerk, of dat er geen ongeautoriseerde verbindingen zijn. 

  • Zorg ervoor dat medewerkers zich bewust zijn van het cyberbeveiligingsbeleid en dit volgen. 

  • Geef het SOC-team toegang tot de nieuwste Threat Intelligence (TI). De Kaspersky Threat Intelligence Portal is een enkel toegangspunt voor de TI van het bedrijf en biedt cyberaanvalgegevens en inzichten die zijn verzameld over de afgelopen 20 jaar. 

  • Implementeer een beveiligingsoplossing op bedrijfsniveau die geavanceerde bedreigingen op netwerkniveau in een vroeg stadium detecteert, zoals Kaspersky Anti Targeted Attack Platform

  • Het wordt ook aanbevolen om een ​​speciale oplossing voor industriële knooppunten en netwerken te implementeren die OT-netwerkverkeer monitoring, analyse en detectie van bedreigingen mogelijk maakt - zoals Kaspersky Industrial CyberSecurity

 Lees meer over de ThreatNeedle-campagne op de Kaspersky ICS CERT-website

 

 

Lees ook
Ernstige kwetsbaarheid in Ivanti Endpoint Manager Mobile (MobileIron Core)

Ernstige kwetsbaarheid in Ivanti Endpoint Manager Mobile (MobileIron Core)

Softwarebedrijf Ivanti heeft beveiligingsupdates uitgebracht voor een ernstige kwetsbaarheid in Ivanti Endpoint Manager Mobile (EPMM), dat vroeger bekend stond als MobileIron Core. De kwetsbaarheid, aangeduid als CVE-2023-35078, wordt actief misbruikt en krijgt een CVSS-score van 10. Dit houdt in dat het om een zeer kritieke kwetsbaarheid gaat. He1

Cyberafpersing: dit zijn de 10 opvallendste trends

Cyberafpersing: dit zijn de 10 opvallendste trends

Cyberafpersing laaide na een kleine dip in het eerste kwartaal van 2023 weer stevig op. Dat blijkt uit het Cy-Xplorer-rapport 2023 van Orange Cyberdefense. Dit zijn de 10 meest opvallende trends uit het rapport.

DTC waarschuwde bedrijven al 35.000 keer voor cyberdreigingen

DTC waarschuwde bedrijven al 35.000 keer voor cyberdreigingen

Het Digital Trust Center (DTC), onderdeel van het ministerie van EZK, heeft sinds juni 2021 ruim 35.000 keer bedrijven proactief gewaarschuwd voor een ernstige bedrijfsspecifieke digitale dreiging of kwetsbaarheid. In de zomer van 2022 stond de teller nog op ruim 1.700 notificaties.