Geavanceerde dreigingsgroep Lazarus richt zich op defensie-industrie

| Kaspersky | 4 min | 25 februari 2021 16:23
Copyright: Kaspersky
Kaspersky heeft een nieuwe campagne geïdentificeerd van Lazarus, een zeer productieve geavanceerde dreigingsactor. Lazarus is actief vanaf ten minste 2009 en is betrokken geweest bij grootschalige cyberspionagecampagnes, ransomware-campagnes en zelfs aanvallen op de cryptocurrency-markt. Waar het zich de afgelopen jaren op financiële instellingen richtte, valt Lazarus sinds begin 2020 de defensie-industrie aan via een aangepaste backdoor genaamd ThreatNeedle.

Kaspersky ontdekte de campagne toen het werd ingeschakeld om te helpen bij de incident response. De onderzoekers ontdekten dat de betreffende organisatie het slachtoffer was geworden van een aanval via aangepaste backdoor. Deze achterdeur wordt ThreatNeedle genoemd en beweegt lateraal in geïnfecteerde netwerken en verkrijgt hierdoor vertrouwelijke informatie. Tot nu toe zijn organisaties getroffen in meer dan een twaalf landen.<

Werkwijze Lazarus

De eerste infectie vindt plaats via spear phishing; doelwitten ontvangen e-mails met een kwaadaardige Word-bijlage of een link naar een document op de bedrijfsserver. Vaak beweerden de e-mails dat er dringende updates nodig waren, gerelateerd aan de pandemie en zogenaamd afkomstig van een gerespecteerd medisch centrum.

Zodra het schadelijke document is geopend, wordt de malware verwijderd en gaat deze door naar de volgende fase van het implementatieproces. De ThreatNeedle-malware die in deze campagne wordt gebruikt, behoort tot een familie die bekend staat als Manuscrypt. Deze malwarefamilie is van Lazarus en eerder gebruikt bij aanvallen op cryptocurrency-bedrijven. Eenmaal geïnstalleerd, kan ThreatNeedle volledige controle krijgen over het apparaat en allerlei acties uitvoeren; van het manipuleren van bestanden tot het uitvoeren van ontvangen opdrachten.

Opmerkelijk in deze campagne is het vermogen van de groep om gegevens te stelen van zowel IT-netwerken op kantoor, als het afgeschermde netwerk van een centrale (een netwerk met bedrijf-kritische activa en computers met zeer gevoelige gegevens en geen toegang tot het internet). Volgens het bedrijfsbeleid mag er geen informatie worden overgedragen tussen deze twee netwerken. Beheerders kunnen echter verbinding maken met beide netwerken om deze systemen te onderhouden. Lazarus was in staat om controle te krijgen over de werkstations van beheerders en vervolgens een kwaadaardige gateway op te zetten om het afgeschermde netwerk aan te vallen en vertrouwelijke gegevens te stelen en verkrijgen.

“Lazarus was misschien wel de meest actieve dreigingsactor van 2020 en het lijkt er niet op dat dit snel gaat veranderen. Sterker nog, het Threat Analysis Team van Google meldde al in januari van dit jaar dat Lazarus dezelfde achterdeur gebruikte om zich op beveiligingsonderzoekers te richten. We verwachten in de toekomst meer van ThreatNeedle te zien en we houden het in de gaten”, zegt Seongsu Park, senior beveiligingsonderzoeker bij het Global Research and Analysis Team (GReAT).

“Lazarus is naast zeer productief, ook erg geavanceerd. Ze waren niet alleen in staat om netwerksegmentatie te overwinnen. Daarnaast deden ze ook uitgebreid onderzoek om zeer gepersonaliseerde en effectieve spear phishing-e-mails te maken en aangepaste tools te bouwen om de gestolen informatie naar een externe server te verplaatsen. Nu industrieën nog steeds te maken hebben met werken op afstand en daardoor kwetsbaarder zijn, is het belangrijk dat organisaties extra veiligheidsmaatregelen nemen om zich te beschermen tegen dit soort geavanceerde aanvallen”, voegt Vyacheslav Kopeytsev toe, beveiligingsexpert bij Kaspersky ICS CERT.

Kaspersky-experts raden het volgende aan, om organisaties te beschermen tegen aanvallen, zoals ThreatNeedle:

  • Geef personeel een basistraining op het gebied van cybersecurityhygiëne, aangezien veel gerichte aanvallen beginnen met phishing of andere social engineering-technieken.

  • Als een onderneming over operationele technologie (OT) of kritieke infrastructuur beschikt, zorg er dan voor dat deze gescheiden is van een bedrijfsnetwerk, of dat er geen ongeautoriseerde verbindingen zijn.

  • Zorg ervoor dat medewerkers zich bewust zijn van het cyberbeveiligingsbeleid en dit volgen.

  • Geef het SOC-team toegang tot de nieuwste Threat Intelligence (TI). De Kaspersky Threat Intelligence Portal is een enkel toegangspunt voor de TI van het bedrijf en biedt cyberaanvalgegevens en inzichten die zijn verzameld over de afgelopen 20 jaar.

  • Implementeer een beveiligingsoplossing op bedrijfsniveau die geavanceerde bedreigingen op netwerkniveau in een vroeg stadium detecteert, zoals Kaspersky Anti Targeted Attack Platform.

  • Het wordt ook aanbevolen om een ??speciale oplossing voor industriële knooppunten en netwerken te implementeren die OT-netwerkverkeer monitoring, analyse en detectie van bedreigingen mogelijk maakt - zoals Kaspersky Industrial CyberSecurity.

Lees meer over de ThreatNeedle-campagne op de Kaspersky ICS CERT-website.

Hoe vind je dit artikel?


Geef jij de eerste rating?

Content op basis van interesse of taal liever niet meer zien? Ga dan naar settings om eenvoudig je voorkeuren in te stellen.

Over Kaspersky

Kaspersky is een wereldwijd opererend cybersecuritybedrijf opgericht in 1997. Zowel consumenten, overheidsinstanties als bedrijven vertrouwen op de uitgebreide expertise op het vlak van dreigingsinformatie en de meest geavanceerde beveiligingsoplossingen en -diensten van Kaspersky ter bescherming van kritieke infrastructuren en (eco)systemen.
Meer over Kaspersky

Disclaimer

Dit item is verkregen via óf is gebaseerd op een externe bron en valt daarmee buiten de verantwoordelijkheid van de redactie. Als het item een (gedeeltelijke) vertaling is van het origineel, dan is bij eventuele verschillen in betekenis het originele item leidend.
20191030101402.jpg
De grootste Nederlandse site over Android
20200707165104.png
Meer meisjes en vrouwen in bèta, techniek en IT
20191030103431.png
Conference by app developers, for app developers!
20191029200614.jpg
Drive value with data
20191030100036.png
Voor professionals met passie voor digitale revolutie!
20200608191257.png
Dé leukste website op het gebied van zorg in Nederland
© 2019-2021, alle rechten voorbehouden.
TechVisor
Het vizier op de tech industrie.