LightlessCan Backdoor ingezet door Noord-Koreaanse Lazarus APT

De Lazarus Group, een hackerscollectief dat opereert vanuit Noord-Korea, heeft een nieuwe vorm van geavanceerde malware gebruikt in hun misleidende banenzwendel, waarvan onderzoekers waarschuwen dat deze aanzienlijk moeilijker te detecteren is dan zijn voorganger.

Tijdens het onderzoeken van een recente nep-jobaanval op een Spaans lucht- en ruimtevaartbedrijf ontdekten onderzoekers een voorheen onbekende achterdeur genaamd LightlessCan.

De frauduleuze jobtactiek van de Lazarus Group houdt doorgaans in dat slachtoffers worden misleid met valse arbeidsaanbiedingen bij gerenommeerde bedrijven. De aanvallers lokken de slachtoffers ertoe een verkapte kwaadaardige lading in de vorm van documenten te downloaden om verschillende vormen van schade aan te richten.

Volgens onderzoekers vertegenwoordigt de nieuwe LightlessCan-payload een aanzienlijke verbetering vergeleken met zijn voorganger, BlindingCan.

LightlessCan heeft een aanzienlijke stealth-upgrade ontvangen

LightlessCan emuleert de functies van een breed scala aan native Windows-commando's, waardoor discrete uitvoering binnen de RAT zelf mogelijk is in plaats van via console-uitvoeringen die enkele alarmsignalen kunnen veroorzaken.

Deze methode biedt een aanzienlijk voordeel op het gebied van ontduiking, zowel bij het ontwijken van realtime monitoringoplossingen zoals EDR's als digitale forensische hulpmiddelen die worden gebruikt nadat een aanval heeft plaatsgevonden.

De nieuwe payload maakt ook gebruik van wat de onderzoekers 'execution guardrails' noemden, waardoor wordt verzekerd dat de payload alleen kan worden gedecodeerd op de machine van het beoogde slachtoffer, waardoor onbedoelde decodering door beveiligingsonderzoekers wordt voorkomen.

De nieuwe malware werd gebruikt bij een aanval op een Spaans lucht- en ruimtevaartbedrijf toen een werknemer een bericht ontving van een valse Meta-recruiter genaamd Steve Dawson.

Kort daarna stuurden de hackers twee eenvoudige coderingsuitdagingen die in de malware waren ingebed. Cyberspionage was het belangrijkste motief achter de aanval van de Lazarus Group op het in Spanje gevestigde lucht- en ruimtevaartbedrijf.

Sinds 2016 hebben Noord-Koreaanse hackers naar verluidt ongeveer 3,5 miljard dollar gestolen uit cryptocurrency-projecten, volgens een rapport van 14 september van het blockchain-forensische bedrijf Chainalysis.