Севернокорейската група Lazarus отново нанесе удар, този път съчетавайки един от най-старите си трикове с един от най-новите си инструменти. Според нов доклад хакерската група, подкрепяна от държавата, е използвала фалшиви предложения за работа заедно с неизвестна досега уязвимост от типа zero-day в Windows, за да проникне в отбранителни и аерокосмически организации. Кампанията е нова глава в операция „Dream Job“ – дългогодишна шпионска дейност, която тормози отбранителния сектор от години, но тази последна вълна показва, че групата е готова да изхаби ценни, неразкрити експлойти, за да получи това, което иска.
Как работи измамата с фалшиви обяви за работа
Атаката следва познат модел за всеки, който е проследявал дейността на Lazarus преди. Някой, представящ се за специалист по подбор, се свързва със служител в отбранителна или аерокосмическа компания и му предлага възможност за работа във фирма, която целта би разпознала. Подходът изглежда легитимен, защото наподобява истинско проучване за набиране на персонал: професионални съобщения, правдоподобна роля и достатъчно детайли, за да не предизвика незабавно подозрение.
Това не е нова тактика. Както отбелязахме в предишния си материал за операцията Dream Job, насочена срещу отбранителни и аерокосмически компании, нападателите са прекарали години в усъвършенстване на тези примамки, за да изглеждат фалшивите възможности реални. Това, което отличава тази последна кампания, е полезният товар, който чака в края на разговора. След като целта прояви интерес, нападателите доставят файл или връзка, която използва Windows zero-day уязвимост – пропуск, който е бил неизвестен за Microsoft и непатентован към момента на атаката. Това означава, че стандартният софтуер за сигурност не е имал сигнатура, с която да го открие, и системата на целта може да бъде компрометирана без очевидни предупредителни знаци.
Аспектът на Windows zero-day
Уязвимостите от типа zero-day са ценни именно защото са неизвестни. Нападателите, които разполагат с такава, могат да заобиколят защити, които обикновено биха спрели известен експлойт. Използването на zero-day от Lazarus тук показва ниво на ресурси и техническа изтънченост, съответстващо на държавна подкрепа, и повтаря модел, който изследователите по сигурността са наблюдавали и преди. Само миналата година Microsoft трябваше да коригира отделна Windows zero-day уязвимост, която вече се използваше активно за инсталиране на зловреден софтуер, свързан с Lazarus, както описахме подробно в материала си за кръпката на Microsoft за пропуск в руткит, свързан с Lazarus. Независимо дали тази нова уязвимост вече е коригирана, основният урок е същият: разчитането единствено на месечния цикъл на актуализации на Microsoft оставя прозорец на излагане, който решителните нападатели са готови да използват.
Защо това има значение извън отбранителните компании
Изкушаващо е да приемем това като история, която засяга само хора, работещи в отбраната и аерокосмическата индустрия, но последиците за поверителността достигат по-далеч. Lazarus се цели в отделни хора, а не само в институции. Служителят, който получава фалшивата оферта за работа, често е избран заради достъпа си, контактите си или чувствителните данни на устройството му, а не защото е направил нещо нередно. Веднъж компрометиран, този отделен лаптоп може да се превърне в опорна точка към по-широка мрежа, излагайки лични комуникации, идентификационни данни и потенциално класифицирана или собственост на компанията информация.
Кампанията също така подчертава по-широка тенденция: социалното инженерство остава един от най-ефективните начини за заобикаляне дори на добре финансирана инфраструктура за сигурност. Никоя защитна стена или инструмент за защита на крайните точки не може напълно да компенсира убедително съобщение, което подтиква някого да отвори файл. Zero-day уязвимостта направи тази конкретна атака по-опасна, но първоначалната точка на влизане, както винаги, беше човешкото доверие.
Какво означава това за вас
Повечето читатели никога няма да получат фишинг съобщение от Lazarus, но тактиките тук стават все по-разпространени и при по-малко усъвършенствани измами. Фалшиви специалисти по подбор, измами с работа и злонамерени прикачени файлове, маскирани като писма с оферти или тестове за програмиране, са станали обичайни в платформи като LinkedIn и по имейл. Ако работите в чувствителен сектор – отбрана, аерокосмическа индустрия, технологии или научни изследвания – отнасяйте се към непоисканите предложения за работа със същия скептицизъм, който бихте приложили към подозрителна фактура или към известие за награда, което звучи твърде добре, за да е истина.
Освен личното внимание, този инцидент напомня, че поддържането на операционната система и софтуера за сигурност актуализирани има значение, въпреки че zero-day по определение не може да бъде коригирана предварително. След като подобна уязвимост стане публична, доставчиците обикновено бързо пускат корекция, а забавянето на тази актуализация ви оставя изложени на нападатели, които чрез обратно инженерство извличат пропуска от самата кръпка.
Практически изводи
Проверявайте независимо контактите от специалисти по подбор, преди да кликвате върху връзки или да изтегляте прикачени файлове, в идеалния случай като се свържете директно с компанията през официалните ѝ канали. Избягвайте да отваряте неочаквани файлове, дори такива, които изглеждат като описания на длъжности или тестове за оценка, без първо да ги сканирате. Поддържайте Windows и целия софтуер актуализирани веднага щом се появят корекции, тъй като zero-day уязвимостите често са последвани бързо от по-широка експлоатация, след като детайлите изтекат. И ако работите в сектор с висока стойност като отбраната или аерокосмическата индустрия, докладвайте подозрителни оферти за работа на екипа по сигурност на вашата организация, вместо да се справяте сами. Фалшивите оферти за работа на Lazarus и експлойтът за Windows zero-day показват, че дори опитни професионалисти могат да бъдат атакувани с изключително убедителни примамки, но здравословната доза скептицизъм и добрата хигиена на сигурността остават най-добрата ви защита.
