Kelompok peretasan Korea Utara yang terkenal, Lazarus, menargetkan organisasi penelitian

Sebuah kampanye baru dari kelompok peretas Korea Utara yang terkenal, Lazarus, diketahui secara aktif menargetkan organisasi penelitian sektor publik dan swasta, penelitian medis dan sektor energi serta rantai pasokan mereka.

Dirinci hari ini oleh peneliti keamanan di penyedia solusi keamanan siber WithSecure Oyj, kampanye tersebut pertama kali terdeteksi pada kuartal keempat tahun 2022. Motivasi di balik kampanye tersebut dinilai kemungkinan besar untuk manfaat intelijen.

Dijuluki “No Pineapple” untuk pesan kesalahan di backdoor yang menambahkan jika data melebihi ukuran byte tersegmentasi, vektor serangan dimulai dengan Lazarus mengeksploitasi kerentanan yang diketahui di server Zimbra. Setelah mendapatkan akses ke server yang ditargetkan, grup peretasan kemudian menyebarkan skrip shell web dan suar Cobalt Strike sebagai mekanisme persistensi.

Lazarus diamati mengkompromikan akun yang sah dan membuat akun yang tidak sah. Layanan yang dijalankan secara otomatis dan tugas terjadwal juga diterapkan untuk lebih membangun kegigihan pada server yang disusupi. Beberapa skrip yang digunakan membuat koneksi proxy, tunneling, dan relai.

Serangan Lazarus bukanlah hal baru, tetapi para peneliti menunjukkan beberapa perkembangan penting dalam kampanye baru dibandingkan dengan aktivitas Lazarus sebelumnya.

Fitur penting dalam kampanye baru ini termasuk penggunaan infrastruktur baru, termasuk ketergantungan tunggal pada alamat IP tanpa nama domain, yang berbeda dari serangan sebelumnya. Versi modifikasi malware pencuri informasi Dtrack terdeteksi, suatu bentuk malware yang digunakan oleh Lazarus Group dan Kimsuky, grup lain yang terkait dengan Korea Utara dalam serangan sebelumnya.

Juga terlihat adalah versi baru GREASE, yang merupakan malware yang memungkinkan penyerang membuat akun administrator baru dengan hak protokol desktop jarak jauh yang melewati firewall.

Dalam analisis mereka, para peneliti juga memperhatikan bahwa penyerang secara singkat menggunakan salah satu dari kurang dari seribu alamat IP milik Korea Utara. Alamat IP diamati terhubung ke webshell yang dikendalikan penyerang untuk waktu yang singkat, membuat peneliti menduga itu adalah kesalahan manual yang dibuat oleh anggota grup.

“Meskipun opsec gagal, aktor tersebut mendemonstrasikan keterampilan yang baik dan masih berhasil melakukan tindakan yang dipertimbangkan pada titik akhir yang dipilih dengan hati-hati,” jelas Kepala Intelijen Ancaman WithSecure Tim West. “Bahkan dengan teknologi deteksi titik akhir yang akurat, organisasi perlu terus mempertimbangkan bagaimana mereka menanggapi peringatan dan juga mengintegrasikan intelijen ancaman terfokus dengan perburuan reguler untuk memberikan pertahanan yang lebih baik secara mendalam, terutama melawan musuh yang cakap dan mahir.”

Gambar: Slate/Wikimedia Commons