Andariel Cybercriminal Group zielt auf südkoreanische Benutzer ab
Im April 2021 identifizierten Cybersicherheitsexperten eine neue E-Mail-Spam-Kampagne, die auf koreanische Benutzer abzielte, indem sie mit bösartigen Skripten durchsetzte Lockdokumente verwendet. Das Ziel der Kampagne war es, eine bösartige Nutzlast zu liefern, die anscheinend nicht mit zuvor bekannten Malware-Familien verwandt ist. Nach der Analyse des Verhaltens und der Infrastruktur der Malware stellten die Forscher fest, dass diese beiden Aspekte des Angriffs den früheren Kampagnen des Lazarus APT seltsam ähnlich waren. Sie glauben, dass die April-Kampagne von einer Untergruppe des Schauspielers Lazarus Advanced Persistent Threat (APT) durchgeführt wurde, der derzeit als Andariel bezeichnet wird.
Die Andariel Criminal Group hat sich für ihre jüngste Kampagne auf eine benutzerdefinierte Hintertür verlassen, aber einige der Opfer wurden zu einem späteren Zeitpunkt auch mit Ransomware infiziert. Die Verfolgung der Aktivitäten der Andariel Criminal Group zeigt, dass sie zuvor in einen finanziell motivierten Angriff verwickelt waren, der auf Geldautomaten gerichtet war.
Opfer der Andariel Criminal Group im April wurden durch Dokumente mit Makros, die per E-Mail zugestellt wurden, angesprochen. Die Angriffe richten sich hauptsächlich an Unternehmen und Benutzer in Südkorea, und es scheint, dass die Kriminellen nach Abschluss der anfänglichen Hintertürinfektion manuell zusätzliche Nutzlasten bereitstellen. Die von ihnen verwendete Ransomware ist ebenfalls kundenspezifisch, ähnelt jedoch anderen im Internet kursierenden Dateisperren. Die Ransomware der Andariel Criminal Group wird:
- Verschlüsseln Sie Dateien, ignorieren Sie kritische Systemdateien wie EXE, SYS, DLL usw.
- Bitten Sie das Opfer, eine Lösegeldgebühr über Bitcoin zu zahlen.
- Geben Sie eine Opfer-ID und die E-Mail-Adresse des Angreifers für die Kontaktaufnahme an.
Gemessen an dem früheren Angriff der Andariel Criminal Group auf Geldautomaten und der derzeit aktiven Ransomware-Kampagne ist davon auszugehen, dass die Aktivitäten der Gruppe hauptsächlich finanziell motiviert sind. Diese Untergruppe der Lazarus APT scheint ihre Aktivität aufzunehmen, daher könnte es nicht lange dauern, bis weitere Details zu ihren Operationen und Malware auftauchen.
