Il gruppo Lazarus distribuisce un nuovo malware stealth nelle truffe di lavoro

In recenti sviluppi, il noto collettivo hacker nordcoreano noto come Lazarus Group è stato trovato a utilizzare una forma altamente sofisticata di malware nei suoi ingannevoli truffe di reclutamento. I ricercatori di sicurezza avvertono che questo nuovo malware è significativamente più difficile da rilevare rispetto alla sua controparte precedente. Peter Kálnai, senior malware researcher di ESET, ha divulgato queste scoperte in un post del 29 settembre. La scoperta è stata fatta durante l'analisi di un attacco di falso lavoro che ha preso di mira un'azienda aerospaziale con sede in Spagna.

I ricercatori di ESET fanno luce sul malware del gruppo Lazarus

I ricercatori di ESET hanno scoperto un backdoor precedentemente non documentato, denominato LightlessCan, durante le loro indagini. Il Lazarus Group ha una storia di impiego di truffe con falsi annunci di lavoro come parte delle sue attività di cyber spionaggio. Tipicamente, queste truffe coinvolgono l'inganno delle vittime con la promessa di un impiego presso un'azienda ben nota. Una volta attratte, le vittime vengono indotte a scaricare un payload dannoso mascherato da documenti, causando varie forme di danno informatico. Tuttavia, Kálnai sottolinea che il nuovo payload LightlessCan rappresenta un "significativo avanzamento" rispetto al suo predecessore, BlindingCan.

Ciò che distingue LightlessCan è la sua capacità di imitare i comandi nativi di Windows, consentendogli di essere eseguito in modo discreto all'interno del Remote Access Trojan (RAT) stesso, evitando le esecuzioni rumorose sulla console che tipicamente susciterebbero sospetti. Questo approccio furtivo offre un considerevole vantaggio in termini di elusione delle soluzioni di monitoraggio in tempo reale, come i sistemi Endpoint Detection and Response (EDR) e gli strumenti di analisi forense digitale post-incidente. Inoltre, il nuovo malware impiega ciò che Kálnai descrive come "barriere di esecuzione".

Queste barriere assicurano che il payload possa essere decrittato solo sulla macchina della vittima prevista, impedendo una decrittazione involontaria da parte di ricercatori di sicurezza o di altre parti non autorizzate. Un esempio del nuovo malware è stato osservato in un attacco a un'azienda aerospaziale spagnola. In questo caso, un dipendente ha ricevuto un messaggio nel 2022 da un falso recruiter di Meta di nome Steve Dawson. Successivamente, gli hacker hanno inviato due apparentemente innocue sfide di codifica che, in realtà, erano incorporate con il malware LightlessCan.

Hacker nordcoreani e preoccupazioni globali per la sicurezza

Peter Kálnai sottolinea anche che il cyber spionaggio era la motivazione principale dietro il targeting del Lazarus Group nei confronti dell'azienda aerospaziale. Questa scoperta getta luce sulle tattiche e sulle capacità in evoluzione del Lazarus Group, un'entità hacker con una storia ben documentata di attacchi informatici e attività criminali. Nel corso degli anni, questo gruppo è riuscito a rubare una stima di 3,5 miliardi di dollari da progetti di criptovalute, secondo un rapporto della società di forensics blockchain Chainalysis pubblicato il 14 settembre 2022.

Il problema delle truffe con falsi annunci di lavoro come copertura per gli attacchi informatici non è nuovo. Nel settembre 2022, la società di cybersecurity SentinelOne ha avvertito di una truffa con falso annuncio di lavoro su LinkedIn che offriva alle potenziali vittime un lavoro presso Crypto.com. Questa campagna, ribattezzata "Operation Dream Job", è stata un'altra istanza di attori delle minacce che sfruttano l'attrattiva dell'impiego per scopi malevoli. In un contesto più ampio, la comunità internazionale, guidata da organizzazioni come le Nazioni Unite, sta lavorando per frenare le attività di cybercrimine della Corea del Nord.

È ampiamente riconosciuto che la Corea del Nord utilizzi i fondi rubati dagli attacchi informatici per sostenere il suo programma di missili nucleari, rendendo questi sforzi una questione di preoccupazione globale per la sicurezza. L'uso da parte del Lazarus Group di malware avanzati come LightlessCan nelle truffe di falso lavoro sottolinea la natura persistente ed evolutiva delle minacce informatiche. Questo caso serve a ricordare la necessità di robuste misure di cybersecurity e di una maggiore vigilanza, specialmente di fronte ad attori delle minacce sempre più sofisticati come il gruppo Lazarus. Man mano che i criminali informatici continuano ad adattarsi e a sviluppare nuove tattiche, le organizzazioni e gli individui devono restare un passo avanti per proteggersi da potenziali danni.