Logiciel malveillant SIGNBT lié au groupe nord-coréen Lazarus

Le groupe Lazarus, associé à la Corée du Nord, a été associé à une récente campagne au cours de laquelle un éditeur de logiciels non divulgué a été victime d'une cyberattaque via l'exploitation de failles de sécurité connues dans un autre logiciel largement reconnu.

Les experts en sécurité ont déterminé que l'attaque a progressé à travers différentes étapes, aboutissant finalement au déploiement de familles de logiciels malveillants comme SIGNBT et LPEClient, qui est un outil de piratage bien connu utilisé par l'acteur malveillant pour profiler des cibles et fournir des charges utiles malveillantes.

Le chercheur en sécurité Seongsu Park a noté que l'adversaire faisait preuve d'un haut niveau de sophistication, utilisant des techniques d'évasion avancées et introduisant le malware SIGNBT pour contrôler les victimes. Le malware SIGNBT utilisé dans cette attaque a suivi une chaîne d'infection complexe et utilisé des méthodes sophistiquées.

SIGNBT déployé contre un fournisseur de cybersécurité

Un fournisseur russe de cybersécurité a révélé que la société responsable du logiciel exploité avait été ciblée par des attaques de Lazarus à plusieurs reprises, suggérant une tentative de voler le code source ou de contaminer la chaîne d'approvisionnement du logiciel, similaire à l'attaque de la chaîne d'approvisionnement de 3CX. Le groupe Lazarus a continué à exploiter les vulnérabilités des logiciels de l'entreprise tout en s'en prenant à d'autres développeurs de logiciels, selon Park. Cette activité récente a permis d’identifier plusieurs victimes dès la mi-juillet 2023.

Ces victimes ont été ciblées via un logiciel de sécurité légitime conçu pour crypter les communications Web à l'aide de certificats numériques. Le nom de ce logiciel n'a pas été divulgué et la méthode précise utilisée pour le transformer en arme pour distribuer SIGNBT reste inconnue.

En plus d'employer diverses tactiques pour établir et maintenir le contrôle sur les systèmes compromis, les chaînes d'attaque utilisent un chargeur en mémoire pour faciliter le lancement du malware SIGNBT. La fonction principale de SIGNBT est d'établir une communication avec un serveur distant et de récupérer des instructions supplémentaires à exécuter sur l'hôte compromis. Le malware tire son nom de chaînes uniques préfixées par « SIGNBT » dans ses communications de commande et de contrôle (C2) basées sur HTTP.

La porte dérobée Windows, quant à elle, est dotée d'un large éventail de fonctionnalités permettant de prendre le contrôle du système de la victime. Cela inclut des tâches telles que l'identification des processus en cours, la gestion des fichiers et des répertoires et le déploiement de charges utiles telles que LPEClient et d'autres utilitaires pour extraire les informations d'identification.