SIGNBT Malware gelinkt aan de Noord-Koreaanse Lazarus Group
De Lazarus Group, geassocieerd met Noord-Korea, is in verband gebracht met een recente campagne waarbij een niet nader genoemde softwareleverancier het slachtoffer werd van een cyberaanval door misbruik te maken van bekende beveiligingsproblemen in een andere algemeen erkende software.
Beveiligingsexperts hebben vastgesteld dat de aanval verschillende fasen heeft doorlopen, wat uiteindelijk heeft geresulteerd in de inzet van kwaadaardige softwarefamilies zoals SIGNBT en LPEClient, een bekende hacktool die door de bedreigingsacteur wordt gebruikt voor het profileren van doelen en het leveren van kwaadaardige ladingen.
Beveiligingsonderzoeker Seongsu Park merkte op dat de tegenstander een hoog niveau van verfijning aan de dag legde, gebruik maakte van geavanceerde ontwijkingstechnieken en de introductie van de SIGNBT-malware om de slachtoffers te controleren. De SIGNBT-malware die bij deze aanval werd gebruikt, volgde een complexe infectieketen en maakte gebruik van geavanceerde methoden.
SIGNBT ingezet tegen cyberbeveiligingsleverancier
Een Russische cyberbeveiligingsleverancier onthulde dat het bedrijf dat verantwoordelijk was voor de uitgebuite software meerdere keren het doelwit was van Lazarus-aanvallen, wat duidt op een poging om de broncode te stelen of de software-toeleveringsketen te besmetten, vergelijkbaar met de 3CX-toeleveringsketenaanval. De Lazarus Group bleef kwetsbaarheden in de software van het bedrijf exploiteren en ging ook achter andere softwareontwikkelaars aan, aldus Park. Bij deze recente activiteit zijn sinds medio juli 2023 verschillende slachtoffers geïdentificeerd.
Deze slachtoffers waren het doelwit van legitieme beveiligingssoftware die was ontworpen om webcommunicatie te coderen met behulp van digitale certificaten. De naam van deze software is niet bekendgemaakt en de precieze methode die wordt gebruikt om deze te bewapenen voor de distributie van SIGNBT blijft onbekend.
Naast het gebruik van verschillende tactieken om de controle over gecompromitteerde systemen te verkrijgen en te behouden, gebruiken de aanvalsketens een in-memory loader om de lancering van de SIGNBT-malware te vergemakkelijken. De primaire functie van SIGNBT is het tot stand brengen van communicatie met een externe server en het ophalen van verdere instructies voor uitvoering op de gecompromitteerde host. De malware ontleent zijn naam aan unieke tekenreeksen voorafgegaan door "SIGNBT" in de op HTTP gebaseerde command-and-control (C2) -communicatie.
De Windows-achterdeur is daarentegen uitgerust met een breed scala aan mogelijkheden om controle over het systeem van het slachtoffer over te nemen. Dit omvat taken zoals het identificeren van actieve processen, het beheren van bestanden en mappen, en het inzetten van payloads zoals LPEClient en andere hulpprogramma's voor het extraheren van inloggegevens.
