Anzeige

Hackergruppe

ESET-Forscher haben eine Kampagne der Lazarus-Gruppe aufgedeckt, die es gezielt auf südkoreanische Internetnutzer abgesehen hat. Dabei setzen die Angreifer ein Schadprogramm ein, das mit einer ungewöhnlichen Manipulation die Software-Supply-Chain infiziert.

Hierzu missbrauchen die Hacker eine legitime südkoreanische Sicherheitssoftware namens WIZVERA VeraPort und digitale Zertifikate. In Südkorea ist es gang und gäbe, dass Anwender beim Besuch von Regierungs- oder Internetbanking-Websites oft aufgefordert werden, zusätzliche Sicherheitssoftware zu installieren. Ihre detaillierte Analyse haben die ESET-Forscher nun auf WeliveSecurity veröffentlicht.

"WIZVERA VeraPort ist eine spezielle südkoreanische Anwendung, um zusätzliche Sicherheitssoftware zu installieren und zu verwalten. Zum Starten einer solchen Software-Installation ist nur eine minimale Benutzerinteraktion erforderlich", erklärt Anton Cherepanov, der ESET-Forscher, der die Untersuchung des Angriffs leitete. "Normalerweise wird diese Software von Regierungs- und Banken-Webseiten verwendet. Für einige dieser Seiten ist es obligatorisch, WIZVERA Veraport zu installieren."

Illegales Code-Signing-Zertifikat kommt zum Einsatz

Um das eingesetzte Schadprogramm zu verbreiten, benutzen die Angreifer illegal erworbene Code-Signing-Zertifikate. Diese wurden ursprünglich für eine US-Niederlassung einer südkoreanischen Sicherheitsfirma ausgestellt. "Die Angreifer tarnen die Malware als legitime Software. Die Schadprogramme haben ähnliche Dateinamen, Symbole und Ressourcen wie legitime südkoreanische Software", sagt ESET-Forscher Peter Kálnai, "Es ist die Kombination aus kompromittierten Webseiten mit WIZVERA VeraPort-Unterstützung und spezifischen VeraPort-Einstellungen, die es den Angreifern ermöglicht, diese Attacke durchzuführen."

Lazarus-Gruppe steckt hinter der Kampagne?

Die ESET-Experten haben Indizien gefunden, die darauf hindeuten, dass der Angriff der Lazarus-Gruppe zugeschrieben werden kann. Die aktuelle Kampagne ist eine Fortsetzung dessen, was das südkoreanische CERT (KrCERT) als Operation BookCodes bezeichnet hat. Diese Kampagne wurde ebenfalls der APT-Gruppe zugeschrieben.

Weitere Hinweise sind typische Merkmale bei den eingesetzten Tools, der Verschlüsselungsmethoden, der Einrichtung der Netzwerkinfrastruktur und die Tatsache, dass der Angriff in Südkorea stattfand, wo Lazarus bekanntermaßen operiert.

Die gesamte Analyse gibt es hier.

www.eset.com/de


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Artikel zu diesem Thema

Cyber Security
Nov 16, 2020

Endpoints, Hacker und Sicherheit in der Digitalisierung

DriveLock, ein Spezialist für IT- und Datensicherheit, veröffentlicht als…
Cyber Attack World
Nov 13, 2020

Gefahr durch Cyber-Kriminalität

Ironhack hat eine Studie veröffentlicht, aus der die am stärksten von Cyber-Kriminellen…
Ransomware
Sep 08, 2020

Warnung vor akuten Ransom-Attacken

Seit Mitte August hat Radware mehrere Ransom-Kampagnen von Akteuren verfolgt, die sich…

Weitere Artikel

Cybercrime

So setzen Hacker Cyberbedrohungen gezielt in der COVID-19-Pandemie ein

BlackBerry veröffentlicht den aktuellen BlackBerry Threat Report 2021, der einen starken Anstieg von Cyberbedrohungen für Unternehmen seit Beginn der COVID-19-Pandemie zeigt. Zudem lässt sich belegen, dass sich Cyberkriminelle nicht nur an neue Gewohnheiten…
Cybercrime

Bedrohungsanalyse 2020: Cyberattacken im Sekundentakt

Die Pandemie bleibt ein Fest für Kriminelle - sie nutzen die Verunsicherung der Menschen für Angriffe aus. Laut der aktuellen Bedrohungsanalyse von G DATA CyberDefense stieg die Zahl der abgewehrten Angriffsversuche im zweiten Halbjahr 2020 um 85 Prozent.
Phishing

Phishing-Kampagnen: Wer ist besonders gefährdet?

Mit Gmail ist Google einer der größten E-Mail-Anbieter weltweit und zählt sowohl Privatpersonen als auch Unternehmen zu seinen Kunden. Einer der wichtigsten Faktoren bei der Auswahl des Providers dürfte für Unternehmen dabei das Thema Sicherheit sein. Dazu…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!