Ataque a la cadena de distribución que pretendía distribuir el malware Lazarus

18 noviembre, 2020
5 Compartido 1,337 Visualizaciones

ESET ha  descubierto los intentos de desplegar el malware Lazarus

En esta ocasión, la novedad se encontraba en el inusual mecanismo de la cadena de suministro utilizado por los atacantes para propagar el malware: los ciberdelincuentes hacían un uso malicioso de soluciones de seguridad legítimas y de certificados digitales robados a dos empresas diferentes. El hecho de  que en Corea del Sur sea necesario descargar e instalar programas de seguridad adicionales cuando se visitan  sitios web del gobierno y de banca online ha facilitado el trabajo a los ciberdelincuentes.  

Para entender este ataque tan novedoso, hay que conocer WIZVERA VeraPort, un programa surcoreano de  integración de instalaciones que ayuda a gestionar el software adicional necesario para operar en ciertas  webs del país. Cuando se descarga WIZVERA VeraPort el usuario recibe e instala todo el software necesario  requerido por la web en cuestión con una interacción mínima para realizar la configuración”, explica Anton  Cherepanov, el analista de ESET que ha liderado la investigación. “Normalmente, este programa se usa para  acceder a páginas gubernamentales o sitios de banca online en Corea del Sur, y en muchos casos es  obligatorio tener WIZVERA VeraPort instalado para poder acceder a esos sitios”. 

Por otro lado, los atacantes utilizaron certificados de firma de código obtenidos de forma irregular para poder  firmar las muestras de malware. Uno de estos certificados había sido emitido a la filial estadounidense de  una compañía surcoreana de seguridad. “Los atacantes camuflaban las muestras de Lazarus como un  software legítimo, con nombres de archivo, iconos y recursos similares al software oficial”, asegura Peter  Kálnai, investigador de ESET que ha analizado el ataque de Lazarus junto a Cherepanov. “La combinación de  las webs comprometidas con el soporte de WIZVERA VeraPort y con algunas configuraciones específicas de  VeraPort es lo que ha permitido que este ataque tuviera éxito”, añade Kálnai.  

El laboratorio de ESET cuenta con fuertes indicios para atribuir este ataque a Lazarus como continuación de la operación BookCodes, denominada así por KrCERT y atribuida a Lazarus por la comunidad de investigadores  en ciberseguridad. Además, el hecho de que cuente con características similares en el conjunto de  herramientas, la detección como NukeSpeed por parte de ESET de varias herramientas, que el ataque haya  ocurrido en Corea del Sur donde Lazarus ya ha operado más veces, la naturaleza personalizada y poco  común de los métodos de intrusión y cifrado utilizados y la configuración de la infraestructura de red también  llevan a pensar que el origen de la campaña es Lazarus. El conjunto de herramientas de Lazarus es muy  amplio, por lo que ESET cree que existen otros subgrupos operando. Además, al contrario que con otros  conjuntos de herramientas utilizados por otros grupos cibercriminales, los códigos fuente de Lazarus nunca  han sido revelados en ninguna filtración que se haya hecho pública. 

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

Esta es la herramienta de análisis de ciberataques para la detección precoz de ciberamenazas en España
Soluciones Seguridad
19 compartido3,338 visualizaciones
Soluciones Seguridad
19 compartido3,338 visualizaciones

Esta es la herramienta de análisis de ciberataques para la detección precoz de ciberamenazas en España

Samuel Rodríguez - 2 agosto, 2019

La empresa española S2 Grupo y el Centro Criptológico Nacional (CCN) han colaborado para el desarrollo de GLORIA, una herramienta…

Tres pasos que ayudarán a las empresas a proteger sus redes corporativas
Actualidad
5 compartido1,365 visualizaciones
Actualidad
5 compartido1,365 visualizaciones

Tres pasos que ayudarán a las empresas a proteger sus redes corporativas

Aina Pou Rodríguez - 18 marzo, 2021

Más del 70% del robo de datos involucraban a grandes compañías y la mayoría de esos ataques son perpetrados por…

Abstractism retirada de Steam por ser una tapadera para el criptominado
APTS
11 compartido2,272 visualizaciones
APTS
11 compartido2,272 visualizaciones

Abstractism retirada de Steam por ser una tapadera para el criptominado

Samuel Rodríguez - 6 agosto, 2018

Valve anuncia la retirada de Abstractism de la plataforma de juegos de Steam por ser una tapadera para el criptominado. No se…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.