Defensie-industrie doelwit van geavanceerde dreigingsgroep Lazarus

Een nieuwe campagne van de cybercrimegroep Lazarus is opgedoken. Deze geavanceerde dreigingsactor is actief vanaf ten minste 2009 en is betrokken geweest bij grootschalige cyberspionagecampagnes, ransomware-campagnes en zelfs aanvallen op de cryptocurrency-markt. Waar het zich de afgelopen jaren op financiële instellingen richtte, valt Lazarus sinds begin 2020 de defensie-industrie aan via een aangepaste backdoor genaamd ThreatNeedle.

Hiervoor waarschuwt Kaspersky. Het beveiligingsbedrijf ontdekte de campagne toen het werd ingeschakeld om te helpen bij de incident response. De onderzoekers ontdekten dat de betreffende organisatie het slachtoffer was geworden van een aanval via aangepaste backdoor. Deze achterdeur wordt ThreatNeedle genoemd en beweegt lateraal in geïnfecteerde netwerken en verkrijgt hierdoor vertrouwelijke informatie. Tot nu toe zijn organisaties getroffen in meer dan een twaalf landen.

Werkwijze Lazarus

De eerste infectie vindt plaats via spear phishing; doelwitten ontvangen e-mails met een kwaadaardige Word-bijlage of een link naar een document op de bedrijfsserver. Vaak beweerden de e-mails dat er dringende updates nodig waren, gerelateerd aan de pandemie en zogenaamd afkomstig van een gerespecteerd medisch centrum.

Zodra het schadelijke document is geopend, wordt de malware verwijderd en gaat deze door naar de volgende fase van het implementatieproces. De ThreatNeedle-malware die in deze campagne wordt gebruikt, behoort tot een familie die bekend staat als Manuscrypt. Deze malwarefamilie is van Lazarus en eerder gebruikt bij aanvallen op cryptocurrency-bedrijven. Eenmaal geïnstalleerd, kan ThreatNeedle volledige controle krijgen over het apparaat en allerlei acties uitvoeren; van het manipuleren van bestanden tot het uitvoeren van ontvangen opdrachten.

Datadiefstal

Opmerkelijk in deze campagne is het vermogen van de groep om gegevens te stelen van zowel IT-netwerken op kantoor, als het afgeschermde netwerk van een centrale (een netwerk met bedrijf-kritische activa en computers met zeer gevoelige gegevens en geen toegang tot het internet). Volgens het bedrijfsbeleid mag er geen informatie worden overgedragen tussen deze twee netwerken. Beheerders kunnen echter verbinding maken met beide netwerken om deze systemen te onderhouden. Lazarus was in staat om controle te krijgen over de werkstations van beheerders en vervolgens een kwaadaardige gateway op te zetten om het afgeschermde netwerk aan te vallen en vertrouwelijke gegevens te stelen en verkrijgen.

“Lazarus was misschien wel de meest actieve dreigingsactor van 2020 en het lijkt er niet op dat dit snel gaat veranderen. Sterker nog, het Threat Analysis Team van Google meldde al in januari van dit jaar dat Lazarus dezelfde achterdeur gebruikte om zich op beveiligingsonderzoekers te richten. We verwachten in de toekomst meer van ThreatNeedle te zien en we houden het in de gaten”, zegt Seongsu Park, senior beveiligingsonderzoeker bij het Global Research and Analysis Team (GReAT).

'Zeer productief en erg geavanceerd'

“Lazarus is naast zeer productief, ook erg geavanceerd. Ze waren niet alleen in staat om netwerksegmentatie te overwinnen. Daarnaast deden ze ook uitgebreid onderzoek om zeer gepersonaliseerde en effectieve spear phishing-e-mails te maken en aangepaste tools te bouwen om de gestolen informatie naar een externe server te verplaatsen. Nu industrieën nog steeds te maken hebben met werken op afstand en daardoor kwetsbaarder zijn, is het belangrijk dat organisaties extra veiligheidsmaatregelen nemen om zich te beschermen tegen dit soort geavanceerde aanvallen”, voegt Vyacheslav Kopeytsev toe, beveiligingsexpert bij Kaspersky ICS CERT.

Kaspersky-experts raden het volgende aan, om organisaties te beschermen tegen aanvallen, zoals ThreatNeedle:

• Geef personeel een basistraining op het gebied van cybersecurityhygiëne, aangezien veel gerichte aanvallen beginnen met phishing of andere social engineering-technieken.
• Als een onderneming over operationele technologie (OT) of kritieke infrastructuur beschikt, zorg er dan voor dat deze gescheiden is van een bedrijfsnetwerk, of dat er geen ongeautoriseerde verbindingen zijn.
• Zorg ervoor dat medewerkers zich bewust zijn van het cyberbeveiligingsbeleid en dit volgen.
• Geef het SOC-team toegang tot de nieuwste Threat Intelligence (TI). De Kaspersky Threat Intelligence Portal is een enkel toegangspunt voor de TI van het bedrijf en biedt cyberaanvalgegevens en inzichten die zijn verzameld over de afgelopen 20 jaar.
• Implementeer een beveiligingsoplossing op bedrijfsniveau die geavanceerde bedreigingen op netwerkniveau in een vroeg stadium detecteert, zoals Kaspersky Anti Targeted Attack Platform.
• Het wordt ook aanbevolen om een speciale oplossing voor industriële knooppunten en netwerken te implementeren die OT-netwerkverkeer monitoring, analyse en detectie van bedreigingen mogelijk maakt - zoals Kaspersky Industrial CyberSecurity.

Lees meer over de ThreatNeedle-campagne op de Kaspersky ICS CERT-website.