Cyberspionage kennt keine Grenzen

Die mit Nordkorea verbundenen Betreiber der Lazarus-Gruppe verschafften sich nach einem erfolgreichen Spear-Phishing-Angriff im vergangenen Jahr Zugang zum Netzwerk des Unternehmens, indem sie sich als Rekrutierer für Meta, den Eigentümer der Plattformen Facebook, Instagram und WhatsApp, ausgaben. Das eigentliche Ziel des Angriffs wurde als Cyberspionage registriert.

Der gefälschte Anwerber kontaktierte das Opfer über LinkedIn Messaging, eine Funktion, die von der professionellen Social-Networking-Plattform LinkedIn bereitgestellt wird. Er schickte dem Opfer zwei Codierungstests, die angeblich im Rahmen des Einstellungsprozesses erforderlich waren. Durch die Zusammenarbeit mit dem betroffenen Luft- und Raumfahrtunternehmen war ESET Research in der Lage, das von Lazarus verwendete Toolkit zu analysieren, indem es die ersten Zugriffsschritte nachstellte. Die Gruppe hatte es auf mehrere Mitarbeiter des Unternehmens abgesehen.

Lazarus sendete mehrere Nutzdaten an die Systeme der Opfer. Die wichtigste davon war ein komplexer Remote-Access-Trojaner (RAT) namens LightlessCan, der zuvor noch nicht aufgezeichnet worden war. Der Trojaner ahmt die Funktionen einer Vielzahl nativer Windows-Befehle nach und wird häufig von Angreifern ausgenutzt, indem sie die lauten Konsolenausführungen durch eine Ausführung ersetzen, die im RAT selbst versteckt ist. Diese strategische Änderung verbessert die Tarnfunktion und macht es schwieriger, die Aktivitäten des Angreifers zu erkennen und zu analysieren.