Kaolin RAT vinculado ao grupo norte-coreano Lazarus APT
O Grupo Lazarus, associado à Coreia do Norte, utilizou táticas familiares envolvendo ofertas de emprego falsas para distribuir um novo trojan de acesso remoto (RAT) chamado Kaolin RAT durante ataques dirigidos a indivíduos específicos na Ásia no verão de 2023.
De acordo com Luigino Camastra, pesquisador de segurança da Avast, o RAT, além de suas funcionalidades padrão, pode modificar carimbos de data e hora de arquivos e carregar binários DLL de um servidor de comando e controle (C2).
O RAT foi usado para introduzir o rootkit FudModule, que explorou uma vulnerabilidade corrigida de administrador para kernel no driver appid.sys (CVE-2024-21338, pontuação CVSS: 7,8) para obter acesso em nível de kernel e desabilitar medidas de segurança.
O uso de iscas de ofertas de emprego pelo Grupo Lazarus para se infiltrar em alvos faz parte de uma campanha chamada Operação Dream Job, que empregou mídias sociais e plataformas de mensagens instantâneas para distribuir malware por um longo período.
Malware vem em arquivo ISO comprometido
Neste esquema, as vítimas lançam involuntariamente um arquivo malicioso de imagem de disco óptico (ISO) contendo três arquivos. Um arquivo, que se apresenta como um cliente Amazon VNC ("AmazonVNC.exe"), é na verdade uma versão renomeada de um aplicativo legítimo do Windows ("choice.exe"). Os outros arquivos, “version.dll” e “aws.cfg”, iniciam a cadeia de infecção. “AmazonVNC.exe” carrega “version.dll”, que por sua vez inicia um processo para injetar uma carga útil de “aws.cfg”.
A carga se conecta a um domínio de comando e controle (C2) ("henraux[.]com"), potencialmente um site comprometido pertencente a uma empresa italiana. Esta carga útil baixa o shellcode para iniciar o RollFling, um carregador para o malware de próximo estágio RollSling, vinculado anteriormente às atividades do Lazarus Group que exploram uma vulnerabilidade JetBrains TeamCity (CVE-2023-42793, pontuação CVSS: 9,8).
O RollSling é executado na memória para evitar a detecção e inicia o RollMid, um carregador que contata uma série de servidores C2 em um processo de várias etapas para estabelecer comunicações.
Em última análise, esta sequência leva à implantação do Kaolin RAT e, posteriormente, do rootkit FudModule, permitindo uma série de atividades maliciosas, como manipulação de arquivos, enumeração de processos, execução de comandos e comunicação com hosts externos.
