Anzeige

Hackergruppe

ESET-Forscher haben eine Kampagne der Lazarus-Gruppe aufgedeckt, die es gezielt auf südkoreanische Internetnutzer abgesehen hat. Dabei setzen die Angreifer ein Schadprogramm ein, das mit einer ungewöhnlichen Manipulation die Software-Supply-Chain infiziert.

Hierzu missbrauchen die Hacker eine legitime südkoreanische Sicherheitssoftware namens WIZVERA VeraPort und digitale Zertifikate. In Südkorea ist es gang und gäbe, dass Anwender beim Besuch von Regierungs- oder Internetbanking-Websites oft aufgefordert werden, zusätzliche Sicherheitssoftware zu installieren. Ihre detaillierte Analyse haben die ESET-Forscher nun auf WeliveSecurity veröffentlicht.

"WIZVERA VeraPort ist eine spezielle südkoreanische Anwendung, um zusätzliche Sicherheitssoftware zu installieren und zu verwalten. Zum Starten einer solchen Software-Installation ist nur eine minimale Benutzerinteraktion erforderlich", erklärt Anton Cherepanov, der ESET-Forscher, der die Untersuchung des Angriffs leitete. "Normalerweise wird diese Software von Regierungs- und Banken-Webseiten verwendet. Für einige dieser Seiten ist es obligatorisch, WIZVERA Veraport zu installieren."

Illegales Code-Signing-Zertifikat kommt zum Einsatz

Um das eingesetzte Schadprogramm zu verbreiten, benutzen die Angreifer illegal erworbene Code-Signing-Zertifikate. Diese wurden ursprünglich für eine US-Niederlassung einer südkoreanischen Sicherheitsfirma ausgestellt. "Die Angreifer tarnen die Malware als legitime Software. Die Schadprogramme haben ähnliche Dateinamen, Symbole und Ressourcen wie legitime südkoreanische Software", sagt ESET-Forscher Peter Kálnai, "Es ist die Kombination aus kompromittierten Webseiten mit WIZVERA VeraPort-Unterstützung und spezifischen VeraPort-Einstellungen, die es den Angreifern ermöglicht, diese Attacke durchzuführen."

Lazarus-Gruppe steckt hinter der Kampagne?

Die ESET-Experten haben Indizien gefunden, die darauf hindeuten, dass der Angriff der Lazarus-Gruppe zugeschrieben werden kann. Die aktuelle Kampagne ist eine Fortsetzung dessen, was das südkoreanische CERT (KrCERT) als Operation BookCodes bezeichnet hat. Diese Kampagne wurde ebenfalls der APT-Gruppe zugeschrieben.

Weitere Hinweise sind typische Merkmale bei den eingesetzten Tools, der Verschlüsselungsmethoden, der Einrichtung der Netzwerkinfrastruktur und die Tatsache, dass der Angriff in Südkorea stattfand, wo Lazarus bekanntermaßen operiert.

Die gesamte Analyse gibt es hier.

www.eset.com/de


Artikel zu diesem Thema

Cyber Security
Nov 16, 2020

Endpoints, Hacker und Sicherheit in der Digitalisierung

DriveLock, ein Spezialist für IT- und Datensicherheit, veröffentlicht als…
Cyber Attack World
Nov 13, 2020

Gefahr durch Cyber-Kriminalität

Ironhack hat eine Studie veröffentlicht, aus der die am stärksten von Cyber-Kriminellen…
Ransomware
Sep 08, 2020

Warnung vor akuten Ransom-Attacken

Seit Mitte August hat Radware mehrere Ransom-Kampagnen von Akteuren verfolgt, die sich…

Weitere Artikel

Hackerangriff

Best of Hacks: Highlights März 2021

Im März rücken unter anderem die Europäische Bankenauf-sichtsbehörde EBA und der PC-Hersteller Acer in den Fokus von Cyberkriminellen. Sicherheitslücken machten zudem unbefugte Zugriffe beim Sicherheitsunternehmen Verkada und bei mehreren Testzentren in…
Hacker Corona

Warnung vor betrügerischer E-Mail Kampagne mit Pfizer-Corona-Impfumfrage

Mit dem vermeintlichen Absender Pfizer und unter dem Vorwand, Umfragen zum Thema Corona-Impfstoffe durchzuführen, haben Betrüger seit April persönliche Daten und möglicherweise auch Geld von mehr als 200.000 Verbrauchern erbeutet.
Bot

Emotet ist tot! ­ Lang lebe Qbot!

Der aktuelle Bedrohungsreport von G DATA zeigt, dass Cyberkriminelle bereits einen Nachfolger für Emotet gefunden haben: Qbot. Bei fast jedem vierten abgewehrten Angriff war die Schadsoftware mit von der Partie. Die Zahlen belegen, dass im ersten Quartal…
Ransomware

Massiver Ransomware-Angriff auf Pipeline-Betreiber

Am Wochenende vermeldeten internationale Medien einen Cyberangriff (Ransomware-Attacke mit einer beute von rund 100 Gigabyte) auf den größten Pipeline-Betreiber in den USA, Colonial Pipeline, der dessen Betrieb lahmlegte.
Phishing

Finanzdienstleister im Visier: 125 Prozent mehr Phishing-Angriffe im Jahr 2020

Lookout, ein Unternehmen für integrierte Endpoint-to-Cloud-Sicherheit, veröffentlicht aktuell einen Bericht, aus dem hervorgeht, dass sich das Risiko für mobiles Phishing bei Finanzdienstleistern und Versicherungen zwischen 2019 und 2020 verdoppelt hat.
Passwortmanagement

Passwörter öffnen Hackern Tür und Tor

Passwort ist gar nicht so schwer. „Am Weltpassworttag sollte man seine Zugangsdaten nicht vergessen.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.