Посещение такого ресурса с высокой вероятностью приводилo к заражению через обязательно...
Посещение такого ресурса с высокой вероятностью приводилo к заражению через обязательное для южнокорейского онлайн-банкинга и государственных служб защитное приложение CrossWeb EX, хотя точный способ его эксплуатации остаётся неизвестным. В ходе атаки родительский процесс INISAFECrossWebEXSvc.exe порождал с высоким уровнем целостности дочерний процесс легитимного файла Windows fsquirt.exe, куда внедрялся шелл-код с вредоносной библиотекой TechHub для выполнения в оперативной памяти. Полная цепочка заражения объединила доработанные версии уже известных инструментов группировки (TechHub, Cubridge, TouchShift и LPEClient) с двумя новыми компонентами TouchHub и ClientHub. Загрузчик первого этапа TechHub связывается с закрытым репозиторием GitHub через API, в ходе рукопожатия генерирует 16-байтовый ключ XOR, шифрует его открытым ключом RSA и объединяет со встроенным вектором инициализации (IV) через операцию XOR, а по команде laeca напрямую вызывает полученный шелл-код, который рефлексивно загружает следующую полезную нагрузку в память. Поскольку на этапе первичной компрометации основной оркестратор Cubridge существует только в оперативной памяти, авторы отчёта полагают, что атакующие выстроили многоступенчатую схему закрепления в системе через установщик служб TouchHub, загрузчик TouchShift и подмену библиотек (DLL sideloading) с созданием файлов C:\Windows\System32\RasConv\mscoree.dll и C:\Windows\System32\RasConv\ActivationStore.dat именно для его повторного развёртывания. Сам оркестратор Cubridge маскирует сетевой обмен с командным сервером под обычные запросы браузера при помощи заголовков X-CSRF-Token, X-Requested-With и Upgrade-Insecure-Requests, управляя функциональными модулями и плагинами вроде ADFinder (AdFinder.dll) для выполнения LDAP-запросов в среде Active Directory и рекурсивного сканера файлов FileCollector (Dll.dll). Основной функциональный модуль (FunctionModule.dll) оркестратора умеет извлекать защищённый через DPAPI ключ AES из файла %LOCALAPPDATA%\Google\Chrome\User Data\Local State, а вместе с плагинами злоумышленники задействуют сборщик сведений о запущенных процессах и специализированный троянец-стилер, который внедряется в браузеры на базе Chromium (Google Chrome, Microsoft Edge и Brave) и выгружает сохранённые пароли, файлы cookie, настройки, закладки и историю посещений. Эксперты GReAT отмечают в заключении, что группа Lazarus начинает подготовку к новым операциям вскоре после завершения предыдущих кампаний, дорабатывает имеющиеся инструменты и в итоге применяет усовершенствованную цепочку заражения на их основе. Группа по-прежнему использует улучшенную версию LPEClient для профилирования жертв и доставки вредоносной нагрузки, что указывает на активное развитие и поддержку инструмента. Интересно, что группа, похоже, перешла на более защищённую постквантовую криптографию быстрее, чем многие легитимные защитные решения. Всё это говорит о присутствии в группе разработчика, отвечающего за техническую часть, в то время как другие члены группы выстраивают комплексный сценарий атаки на целевое ПО. Хотя мы ожидали, что целевые атаки на Южную Корею продолжатся, мы не предполагали, что одновременно будут вестись сразу несколько кампаний, каждая из которых будет использовать свое ПО и инструменты. Примечательно, что кластер COPPERHEDGE, судя по всему, занимается монетизацией атак, тогда как «Операция FlashHole» нацелена на шпионаж. Мы внимательно следим за этими изменениями, чтобы понять мотивы и конечные цели злоумышленников. — комментируют эксперты. С отчётом ознакомиться можно тут. ✋ @Russian_OSINT