InfoDnes.cz » Zpravodajství » Magazín » TechMag

Kybernetický útok severokorejské skupiny Lazarus má stopy i v Česku

27.02.2023
Analytici společnosti ESET objevili nový útok malwaru Wslink, který je využíván pro kyberšpionáž. Následnou analýzou bylo zjištěno, že tento škodlivý kód byl využit pro zločinecké aktivity v několika zemích Severní Ameriky, Blízkého východu a střední Evropy. ESET může potvrdit, že tento malware byl detekován i v České republice. Podle všech dostupných informací za ním stojí kyberkriminální APT skupina Lazarus, která má vazby na režim v Severní Koreji.
Ilustrační snímek | Foto: pixabay.com
"Útočníci pomocí škodlivého kódu mají možnost vniknout do vnitřní sítě napadené organizace skrze útočníkem vytvořená zadní vrátka - tuto roli hraje v námi popsaném útoku jeden z modulů programu Wslink - backdoor WinorDLL64. Malware pak může získat v podstatě libovolné informace, které mohou útočníci následně zpeněžit, nebo využít takto získaná data pro špionáž. Objevený backdoor dokáže exfiltrovat, přepisovat a odstraňovat soubory, spouštět příkazy a získávat rozsáhlé informace o systému," říká Vladislav Hrčka, výzkumný analytik společnosti ESET, který aktuální útok objevil.

"Technicky přesně lze detekovaný útok popsat následovně - Wslink, který obsahuje soubor s názvem WinorLoaderDLL64.dll, je loader binárních souborů systému Windows, který funguje jako server a spouští přijaté moduly v paměti. Jedná se tak o univerzální jádro čekající na napadeném zařízení na dodání dalšího škodlivého kódu, který pak provede konkrétní, závadnou akci, tedy vpuštění vlastního malwaru do již napadeného systému. Díky své modularitě a schopnosti stáhnout a zavést další modul může být později využíván také k dalším krokům. Wslink naslouchá na portu uvedeném v konfiguraci a může obsluhovat další připojující se klienty a načítat další škodlivé kódy," vysvětluje Hrčka.

WinorDLL64 se svou podobou i chováním překrývá s několika vzorky skupiny Lazarus, což naznačuje, že by mohlo jít o nástroj z rozsáhlého arzenálu této severokorejské APT skupiny.

Původně neznámý DLL modul WinorDLL64 byl na bezpečnostní web VirusTotal nahrán z Jižní Koreje, krátce po zveřejnění příspěvku na blogu společnosti ESET, a tím odhalil, jaké moduly malware Wslink stahuje a spouští. Telemetrie společnosti ESET zaznamenala pouze několik detekcí loaderu Wslink v Severní Americe, na Blízkém východě a ve střední Evropě, a to včetně České republiky. Společnost AhnLab ve své telemetrii také potvrdila oběti z Jižní Koreje, což je relevantní ukazatel vzhledem k tradičním cílům skupiny Lazarus a k tomu, že společnost ESET zaznamenala pouze několik detekcí.

Škodlivý kód ze Severní Koreje


Útoky APT skupin se vyznačují vysokou specializací a jejich kód bývá zpravidla jedinečný. Jejich cílem jsou konkrétní instituce a organizace, často ve spojitosti s kritickou infrastrukturou. APT neboli Advance Persistent Threat (pokročilá přetrvávající hrozba) je označení pro různými státy sponzorované kybernetické útočníky, kteří se pokročilými technikami snaží získat data konkrétních cílů za účelem kyberšpionáže.

"Takové útoky jsou velmi pokročilé a nákladné na přípravu, obvykle jsou tak vedeny skupinami, které jsou napojeny na státní aktéry. To, že jsme útok detekovali také v České republice, jasně vypovídá o tom, že ani pokročilé hrozby se Česku nevyhýbají," vysvětluje Hrčka.

Hlavní cílový region útoku, samotný kód i jeho chování naznačují, že nástroj používá nechvalně známá APT skupina Lazarus, která je napojená na Severní Koreu. Skupina je aktivní nejméně od roku 2009. Má na svědomí známé incidenty, jako je například útok na společnost Sony Pictures Entertainment, kybernetické loupeže za desítky milionů dolarů v roce 2016, masivní rozšíření ransmowaru WannaCryptor (alias WannaCry) v roce 2017 a dlouhou historii útoků narušujících jihokorejskou veřejnou a kritickou infrastrukturu, a to nejméně od roku 2011. Americké organizace US-CERT a FBI tuto skupinu nazývají HIDDEN COBRA.

Zdroj: Eset

Další články z rubriky TechMag

Škodlivý kód Rescoms nahrává záznamy přes mikrofon a webkameru

V únoru se v Česku vedle spywaru Agent Tesla a spywaru Formbook nově objevil škodlivý kód Rescoms. Tento malware se podobně jako spyware zaměřuje na odcizení našich dat a nabízí útočníkům řadu špionážních funkcí - kromě zaznamenávání stisků kláves, ...

Výzkumníci z Brna vyvíjejí způsob, jak měřit škodlivost nočního světla

Rostlinám, hmyzu i živočichům velké množství intenzivního osvětlení škodí. Jak ale rozpoznat míru škodlivosti umělého světla na živé organismy a život ...

Starfish Prime: Američané v roce 1962 odpálili atomovku ve výši 400 kilometrů nad povrchem

Dne 9. července 1962 se odehrála jedna z nejvýznamnějších událostí v historii jaderných zkoušek. Americká raketa Thor, nesoucí hlavici o síle zhruba 1 ...

Hrozby pro macOS: V lednu se nově objevila falešná aplikace slibující prolomení zabezpečení iPhonu

V lednu letošního roku zaznamenali bezpečnostní specialisté pokles detekcí hrozeb pro platformu macOS v Česku a na Slovensku. I přesto se nově objevil ...

Československý obrněný transportér OT-64 patřil mezi světovou špičku

Český OT-64 SKOT byl nejmodernějším transportérem na světě. Toto tvrzení se může zdát přehnané, ale ve skutečnosti je založeno na faktech. V tomto člá ...

Doporučujeme



Čtvrtek 28.3.2024
Počasí v ČR
Počasí v regionech »