SIGNBT-Malware im Zusammenhang mit der nordkoreanischen Lazarus-Gruppe
Die mit Nordkorea verbundene Lazarus-Gruppe wurde kürzlich mit einer Kampagne in Verbindung gebracht, bei der ein unbekannter Softwareanbieter Opfer eines Cyberangriffs wurde, indem er bekannte Sicherheitslücken in einer anderen weithin bekannten Software ausnutzte.
Sicherheitsexperten haben festgestellt, dass der Angriff verschiedene Phasen durchlief, was letztendlich zur Bereitstellung bösartiger Softwarefamilien wie SIGNBT und LPEClient führte, einem bekannten Hacking-Tool, das vom Bedrohungsakteur zur Profilerstellung von Zielen und zur Bereitstellung bösartiger Payloads verwendet wird.
Der Sicherheitsforscher Seongsu Park stellte fest, dass der Angreifer ein hohes Maß an Raffinesse an den Tag legte, indem er fortschrittliche Umgehungstechniken einsetzte und die SIGNBT-Malware einführte, um die Opfer zu kontrollieren. Die bei diesem Angriff verwendete SIGNBT-Malware folgte einer komplexen Infektionskette und nutzte ausgefeilte Methoden.
SIGNBT wird gegen Cybersicherheitsanbieter eingesetzt
Ein russischer Cybersicherheitsanbieter gab bekannt, dass das für die ausgenutzte Software verantwortliche Unternehmen mehrfach Ziel von Lazarus-Angriffen war, was auf einen Versuch hindeutet, Quellcode zu stehlen oder die Software-Lieferkette zu kontaminieren, ähnlich dem 3CX-Lieferkettenangriff. Laut Park nutzte die Lazarus-Gruppe weiterhin Schwachstellen in der Software des Unternehmens aus und ging gleichzeitig gegen andere Softwareentwickler vor. Diese jüngste Aktivität hat bis Mitte Juli 2023 mehrere Opfer identifiziert.
Diese Opfer wurden durch eine legitime Sicherheitssoftware angegriffen, die darauf ausgelegt war, Webkommunikation mithilfe digitaler Zertifikate zu verschlüsseln. Der Name dieser Software wurde nicht bekannt gegeben, und die genaue Methode, mit der sie für die Verbreitung von SIGNBT missbraucht wurde, ist unbekannt.
Neben dem Einsatz verschiedener Taktiken, um die Kontrolle über kompromittierte Systeme zu erlangen und aufrechtzuerhalten, nutzen die Angriffsketten einen In-Memory-Loader, um den Start der SIGNBT-Malware zu erleichtern. Die Hauptfunktion von SIGNBT besteht darin, die Kommunikation mit einem Remote-Server herzustellen und weitere Anweisungen zur Ausführung auf dem kompromittierten Host abzurufen. Der Name der Malware leitet sich von eindeutigen Zeichenfolgen ab, denen in ihrer HTTP-basierten Command-and-Control-Kommunikation (C2) das Präfix „SIGNBT“ vorangestellt ist.
Die Windows-Hintertür hingegen ist mit einer Vielzahl von Funktionen ausgestattet, um die Kontrolle über das System des Opfers zu übernehmen. Dazu gehören Aufgaben wie die Identifizierung laufender Prozesse, die Verwaltung von Dateien und Verzeichnissen sowie die Bereitstellung von Nutzlasten wie LPEClient und anderen Dienstprogrammen zum Extrahieren von Anmeldeinformationen.
