Ataque a la cadena de distribución que pretendía distribuir el malware Lazarus

18 noviembre, 2020
5 Compartido 1,188 Visualizaciones

ESET ha  descubierto los intentos de desplegar el malware Lazarus

En esta ocasión, la novedad se encontraba en el inusual mecanismo de la cadena de suministro utilizado por los atacantes para propagar el malware: los ciberdelincuentes hacían un uso malicioso de soluciones de seguridad legítimas y de certificados digitales robados a dos empresas diferentes. El hecho de  que en Corea del Sur sea necesario descargar e instalar programas de seguridad adicionales cuando se visitan  sitios web del gobierno y de banca online ha facilitado el trabajo a los ciberdelincuentes.  

Para entender este ataque tan novedoso, hay que conocer WIZVERA VeraPort, un programa surcoreano de  integración de instalaciones que ayuda a gestionar el software adicional necesario para operar en ciertas  webs del país. Cuando se descarga WIZVERA VeraPort el usuario recibe e instala todo el software necesario  requerido por la web en cuestión con una interacción mínima para realizar la configuración”, explica Anton  Cherepanov, el analista de ESET que ha liderado la investigación. “Normalmente, este programa se usa para  acceder a páginas gubernamentales o sitios de banca online en Corea del Sur, y en muchos casos es  obligatorio tener WIZVERA VeraPort instalado para poder acceder a esos sitios”. 

Por otro lado, los atacantes utilizaron certificados de firma de código obtenidos de forma irregular para poder  firmar las muestras de malware. Uno de estos certificados había sido emitido a la filial estadounidense de  una compañía surcoreana de seguridad. “Los atacantes camuflaban las muestras de Lazarus como un  software legítimo, con nombres de archivo, iconos y recursos similares al software oficial”, asegura Peter  Kálnai, investigador de ESET que ha analizado el ataque de Lazarus junto a Cherepanov. “La combinación de  las webs comprometidas con el soporte de WIZVERA VeraPort y con algunas configuraciones específicas de  VeraPort es lo que ha permitido que este ataque tuviera éxito”, añade Kálnai.  

El laboratorio de ESET cuenta con fuertes indicios para atribuir este ataque a Lazarus como continuación de la operación BookCodes, denominada así por KrCERT y atribuida a Lazarus por la comunidad de investigadores  en ciberseguridad. Además, el hecho de que cuente con características similares en el conjunto de  herramientas, la detección como NukeSpeed por parte de ESET de varias herramientas, que el ataque haya  ocurrido en Corea del Sur donde Lazarus ya ha operado más veces, la naturaleza personalizada y poco  común de los métodos de intrusión y cifrado utilizados y la configuración de la infraestructura de red también  llevan a pensar que el origen de la campaña es Lazarus. El conjunto de herramientas de Lazarus es muy  amplio, por lo que ESET cree que existen otros subgrupos operando. Además, al contrario que con otros  conjuntos de herramientas utilizados por otros grupos cibercriminales, los códigos fuente de Lazarus nunca  han sido revelados en ninguna filtración que se haya hecho pública. 

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

CyberSecurity News ya está en el canal de Telegram Security News For Everyone
Actualidad
10 compartido2,278 visualizaciones
Actualidad
10 compartido2,278 visualizaciones

CyberSecurity News ya está en el canal de Telegram Security News For Everyone

Vicente Ramírez - 11 julio, 2018

Security News from everyone es un canal dedicado a noticias de Seguridad: Conferencias, CTF, Materiales y Protección de la información.…

Wannacry no ha desaparecido y sigue poniendo en peligro a tus dispositivos
Actualidad
5 compartido2,071 visualizaciones
Actualidad
5 compartido2,071 visualizaciones

Wannacry no ha desaparecido y sigue poniendo en peligro a tus dispositivos

Alicia Burrueco - 19 mayo, 2020

Esta amenaza es muy importante todavía a día de hoy. Seguramente haya muchos usuarios que no sepan lo que es…

El 73% de las empresas españolas ha sufrido al menos una brecha de seguridad en el último año
Actualidad
4 compartido887 visualizaciones
Actualidad
4 compartido887 visualizaciones

El 73% de las empresas españolas ha sufrido al menos una brecha de seguridad en el último año

Alicia Burrueco - 27 mayo, 2020

Centros de datos, ordenadores de sobremesa, dispositivos portátiles e información en movimiento, en el centro de la estrategia de protección…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.