Andariel Cyberprzestępcza grupa atakuje użytkowników z Korei Południowej

W kwietniu 2021 r. eksperci ds. cyberbezpieczeństwa zidentyfikowali nową kampanię spamową e-mail, która była wymierzona w koreańskich użytkowników za pomocą wabiących dokumentów, które zawierały szkodliwe skrypty. Celem kampanii było dostarczenie szkodliwego ładunku, który nie wydaje się być powiązany z wcześniej znanymi rodzinami szkodliwego oprogramowania. Po przeanalizowaniu zachowania i infrastruktury szkodliwego oprogramowania badacze zauważyli, że oba te aspekty ataku były dziwnie podobne do poprzednich kampanii przeprowadzonych przez Lazarus APT . Uważają, że kwietniowa kampania została przeprowadzona przez podgrupę aktora Lazarus Advanced Persistent Threat (APT), który obecnie jest określany jako Andariel.

Grupa przestępcza Andariel w swojej ostatniej kampanii polegała na niestandardowym tylnym wejściu, ale niektóre ofiary zostały również zainfekowane oprogramowaniem ransomware na późniejszym etapie. Śledzenie działalności Grupy Kryminalnej Andariel pokazuje, że wcześniej brała ona udział w ataku motywowanym finansami, którego celem były urządzenia bankomatowe.

Ofiary Andariel Criminal Group w kwietniu kontaktowano się za pomocą makropowiązanych dokumentów dostarczanych za pośrednictwem poczty elektronicznej. Celem ataków są przede wszystkim podmioty i użytkownicy w Korei Południowej i wydaje się, że przestępcy ręcznie rozmieszczają dodatkowe ładunki po zakończeniu początkowej infekcji backdoora. Oprogramowanie ransomware, którego używają, jest również tworzone na zamówienie, ale jest podobne do innych programów do blokowania plików krążących w Internecie. Oprogramowanie ransomware Andariel Criminal Group:

• Szyfruj pliki, ignorując krytyczne pliki systemowe, takie jak EXE, SYS, DLL itp.
• Poproś ofiarę o zapłacenie okupu za pośrednictwem Bitcoin.
• Podaj identyfikator ofiary i adres e-mail atakującego w celu kontaktu.

Sądząc po poprzednim ataku Andariel Criminal Group na bankomaty i aktualnie aktywnej kampanii ransomware, można śmiało założyć, że działania grupy są w większości motywowane finansami. Wygląda na to, że ta podgrupa APT Lazarus podejmuje swoją aktywność, więc może nie potrwać długo, zanim uzyskamy więcej szczegółów na temat jej operacji i powierzchni złośliwego oprogramowania.