ESET ha  descubierto los intentos de desplegar el malware Lazarus

En esta ocasión, la novedad se encontraba en el inusual mecanismo de la cadena de suministro utilizado por los atacantes para propagar el malware: los ciberdelincuentes hacían un uso malicioso de soluciones de seguridad legítimas y de certificados digitales robados a dos empresas diferentes. El hecho de  que en Corea del Sur sea necesario descargar e instalar programas de seguridad adicionales cuando se visitan  sitios web del gobierno y de banca online ha facilitado el trabajo a los ciberdelincuentes.  

“Para entender este ataque tan novedoso, hay que conocer WIZVERA VeraPort, un programa surcoreano de  integración de instalaciones que ayuda a gestionar el software adicional necesario para operar en ciertas  webs del país. Cuando se descarga WIZVERA VeraPort el usuario recibe e instala todo el software necesario  requerido por la web en cuestión con una interacción mínima para realizar la configuración”, explica Anton  Cherepanov, el analista de ESET que ha liderado la investigación. “Normalmente, este programa se usa para  acceder a páginas gubernamentales o sitios de banca online en Corea del Sur, y en muchos casos es  obligatorio tener WIZVERA VeraPort instalado para poder acceder a esos sitios”. 

Por otro lado, los atacantes utilizaron certificados de firma de código obtenidos de forma irregular para poder  firmar las muestras de malware. Uno de estos certificados había sido emitido a la filial estadounidense de  una compañía surcoreana de seguridad. “Los atacantes camuflaban las muestras de Lazarus como un  software legítimo, con nombres de archivo, iconos y recursos similares al software oficial”, asegura Peter  Kálnai, investigador de ESET que ha analizado el ataque de Lazarus junto a Cherepanov. “La combinación de  las webs comprometidas con el soporte de WIZVERA VeraPort y con algunas configuraciones específicas de  VeraPort es lo que ha permitido que este ataque tuviera éxito”, añade Kálnai.  

El laboratorio de ESET cuenta con fuertes indicios para atribuir este ataque a Lazarus como continuación de la operación BookCodes, denominada así por KrCERT y atribuida a Lazarus por la comunidad de investigadores  en ciberseguridad. Además, el hecho de que cuente con características similares en el conjunto de  herramientas, la detección como NukeSpeed por parte de ESET de varias herramientas, que el ataque haya  ocurrido en Corea del Sur donde Lazarus ya ha operado más veces, la naturaleza personalizada y poco  común de los métodos de intrusión y cifrado utilizados y la configuración de la infraestructura de red también  llevan a pensar que el origen de la campaña es Lazarus. El conjunto de herramientas de Lazarus es muy  amplio, por lo que ESET cree que existen otros subgrupos operando. Además, al contrario que con otros  conjuntos de herramientas utilizados por otros grupos cibercriminales, los códigos fuente de Lazarus nunca  han sido revelados en ninguna filtración que se haya hecho pública.