Malware SIGNBT vinculado al grupo norcoreano Lazarus
El Grupo Lazarus, asociado con Corea del Norte, ha sido vinculado a una campaña reciente en la que un proveedor de software no revelado fue víctima de un ciberataque mediante la explotación de vulnerabilidades de seguridad conocidas en otro software ampliamente reconocido.
Los expertos en seguridad han determinado que el ataque avanzó a través de varias etapas, lo que finalmente resultó en la implementación de familias de software malicioso como SIGNBT y LPEClient, que es una conocida herramienta de piratería utilizada por el actor de amenazas para perfilar objetivos y entregar cargas útiles maliciosas.
El investigador de seguridad Seongsu Park señaló que el adversario mostró un alto nivel de sofisticación, utilizando técnicas de evasión avanzadas e introduciendo el malware SIGNBT para controlar a las víctimas. El malware SIGNBT utilizado en este ataque siguió una compleja cadena de infección y empleó métodos sofisticados.
SIGNBT implementado contra un proveedor de ciberseguridad
Un proveedor ruso de ciberseguridad reveló que la empresa responsable del software explotado había sido blanco de ataques de Lazarus varias veces, lo que sugiere un intento de robar el código fuente o contaminar la cadena de suministro de software, similar al ataque a la cadena de suministro de 3CX. Según Park, el Grupo Lazarus continuó explotando las vulnerabilidades en el software de la compañía y al mismo tiempo persiguió a otros desarrolladores de software. Esta actividad reciente ha identificado a varias víctimas a mediados de julio de 2023.
Estas víctimas fueron atacadas a través de un software de seguridad legítimo diseñado para cifrar las comunicaciones web mediante certificados digitales. El nombre de este software no fue revelado y se desconoce el método preciso utilizado para convertirlo en un arma para distribuir SIGNBT.
Además de emplear diversas tácticas para establecer y mantener el control sobre los sistemas comprometidos, las cadenas de ataque utilizan un cargador en memoria para facilitar el lanzamiento del malware SIGNBT. La función principal de SIGNBT es establecer comunicación con un servidor remoto y recuperar instrucciones adicionales para su ejecución en el host comprometido. El nombre del malware deriva de cadenas únicas con el prefijo "SIGNBT" en sus comunicaciones de comando y control (C2) basadas en HTTP.
La puerta trasera de Windows, por otro lado, está equipada con una amplia gama de capacidades para tomar el control del sistema de la víctima. Esto incluye tareas como identificar procesos en ejecución, administrar archivos y directorios e implementar cargas útiles como LPEClient y otras utilidades para extraer credenciales.
