LightlessCan Backdoor wird von der nordkoreanischen Lazarus APT bereitgestellt

Die Lazarus Group, ein von Nordkorea aus operierendes Hackerkollektiv, hat bei ihren betrügerischen Jobbetrügereien eine neue Form fortschrittlicher Malware eingesetzt, die laut Forschern deutlich schwerer zu erkennen ist als ihre Vorgängerin.

Bei der Untersuchung eines aktuellen Fake-Job-Angriffs auf ein spanisches Luft- und Raumfahrtunternehmen entdeckten Forscher eine bisher unbekannte Hintertür namens LightlessCan.

Die betrügerische Jobtaktik der Lazarus Group besteht typischerweise darin, Opfer mit gefälschten Stellenangeboten bei renommierten Unternehmen zu täuschen. Die Angreifer locken Opfer dazu, getarnte bösartige Nutzdaten in Form von Dokumenten herunterzuladen, um verschiedene Formen von Schaden anzurichten.

Laut Forschern stellt die neue LightlessCan-Nutzlast eine deutliche Verbesserung im Vergleich zu ihrem Vorgänger BlindingCan dar.

LightlessCan hat ein bedeutendes Stealth-Upgrade erhalten

LightlessCan emuliert die Funktionen einer breiten Palette nativer Windows-Befehle und ermöglicht so eine diskrete Ausführung innerhalb des RAT selbst und nicht über Konsolenausführungen, die einige Warnsignale auslösen könnten.

Diese Methode bietet einen erheblichen Vorteil im Hinblick auf die Umgehung, sowohl bei der Umgehung von Echtzeit-Überwachungslösungen wie EDRs als auch bei der Umgehung digitaler forensischer Tools, die nach einem Angriff eingesetzt werden.

Die neue Nutzlast nutzt außerdem das, was die Forscher als „Ausführungsleitlinien“ bezeichneten, um sicherzustellen, dass die Nutzlast nur auf dem Rechner des vorgesehenen Opfers entschlüsselt werden kann, und verhindert so eine unbeabsichtigte Entschlüsselung durch Sicherheitsforscher.

Die neuartige Malware wurde bei einem Angriff auf ein spanisches Luft- und Raumfahrtunternehmen eingesetzt, als ein Mitarbeiter eine Nachricht von einem gefälschten Meta-Recruiter namens Steve Dawson erhielt.

Kurz darauf schickten die Hacker zwei unkomplizierte Codierungsherausforderungen, die in die Malware eingebettet waren. Cyberspionage war das Hauptmotiv für den Angriff der Lazarus-Gruppe auf das in Spanien ansässige Luft- und Raumfahrtunternehmen.

Laut einem Bericht des Blockchain-Forensikunternehmens Chainalysis vom 14. September haben nordkoreanische Hacker seit 2016 angeblich etwa 3,5 Milliarden US-Dollar aus Kryptowährungsprojekten gestohlen.