Lazarus黑客组织使用更新的恶意软件瞄准欧洲
Lazarus黑客组织正在使用新版本的DTrack后门来攻击欧洲、拉丁美洲目标。
DTrack是一个模块化后门,具有键盘记录器、屏幕截图捕捉器、浏览器历史记录检索器、运行进程窥探器、IP地址和网络连接信息捕捉器等。
除了间谍之外,它还可以运行命令来执行文件操作、获取额外的有效负载、窃取文件和数据,以及在受感染的设备上执行进程。
与过去分析的样本相比,新的恶意软件版本没有太多功能或代码更改,但现在部署范围更广。
卡巴斯基在一份报告中说,他们的遥测数据显示德国、巴西、印度、意大利、墨西哥、瑞士、沙特阿拉伯、土耳其和美国的DTrack活动。
目标行业包括政府研究中心、政策机构、化学品制造商、IT服务提供商、电信提供商、公用事业服务提供商和教育。
在新的攻击活动中,卡巴斯基发现DTrack使用通常与合法可执行文件关联的文件名进行分发。
例如,他们共享的一个样本以NvContainer。exe文件名分发,该文件名与合法的NVIDIA文件同名。
卡巴斯基称,DTrack继续通过使用窃取的凭据破坏网络或利用暴露在Internet上的服务器来安装,如之前的活动所示。
启动后,恶意软件会经过多个解密步骤,然后通过挖空进程将其最终有效负载加载到直接从内存运行的explorer。exe进程中。
与过去的DTrack变体的唯一区别是它现在使用API散列来加载库和函数而不是混淆字符串,并且C2服务器的数量已减少一半,仅为三个。
卡巴斯基发现的一些C2服务器是pinkgoat〔。〕com、purewatertokyo〔。〕com、purplebear〔。〕com和salmonrabbit〔。〕com。
卡巴斯基将此活动归因于东北亚某国背景的Lazarus黑客组织,并声称攻击者只要看到潜在的经济利益就会使用DTrack。
2022年8月,研究人员将该后门与被追踪为Andariel的Lazarus黑客组织组织联系起来,该组织在美国和韩国的企业网络中部署了Maui勒索软件。
2020年2月,Dragos将DTrack与攻击核能和油气设施的东北亚某高级威胁组织Wassonite联系起来。