Státem podporovaná skupina zvyšuje laťku

Severokorejská skupina Lazarus byla spojována s novou vlnou útoků na společnosti z oblasti obrany a letectví a podrobnosti jsou pozoruhodné nejen kvůli cílům. Podle zpráv skupina zneužila chybu v systému Windows dříve, než byl k dispozici patch, což znamená, že obránci neměli šanci mezeru předem uzavřít. Aby zakryla své stopy, Lazarus údajně spoléhala na kvantově odolnou šifru a síť kompromitovaných serverů, což výrazně ztížilo odhalení a rozkrytí operace.

Není to poprvé, co Lazarus zkombinovala zero-day zranitelnost v systému Windows s taktikou sociálního inženýrství, aby získala oporu uvnitř cílových organizací. Jak bylo popsáno v předchozí zprávě o využití zero-day zranitelnosti v systému Windows skupinou Lazarus při podvodném pracovním inzerátu, skupina má za sebou historii kombinování technických zneužití s přesvědčivými návnadami zaměřenými na zaměstnance v citlivých odvětvích. Nejnovější kampaň proti společnostem z oblasti obrany a letectví se zdá následovat stejnou taktiku, ale s přidanou vrstvou šifrovací sofistikovanosti.

Proč zde záleží na kvantově odolné šifře

Kvantově odolná šifra je obvykle diskutována jako obranná technologie, něco, co organizace přijímají, aby ochránily svá data do budoucna proti případnému příchodu výkonných kvantových počítačů schopných prolomit dnešní standardní kryptografii. Vidět ji použít útočně, útočníkem ke skrytí provozu velení a řízení nebo ukradených dat, je významný posun.

Pro státem sponzorovanou skupinu, jako je Lazarus, tento druh šifrování činí zachycený provoz mnohem obtížnějším pro bezpečnostní výzkumníky a obránce sítí k analýze. V kombinaci s kompromitovanými servery fungujícími jako reléové body to přidává více vrstev zatemnění mezi infrastrukturu útočníka a kompromitované systémy uvnitř sítě cíle. Výsledkem je operace, která může přetrvávat déle, než je odhalena, což dává útočníkům více času na laterální pohyb, sběr pověření nebo exfiltraci citlivých dat.

Zero-day zneužití a limity patchování

Využití chyby v systému Windows dříve, než byla opravena, podtrhuje přetrvávající problém v kybernetické bezpečnosti: i dobře vybavené organizace se mohou bránit pouze proti tomu, o čem vědí. Zero-day zranitelnosti jsou z definice zneužity dříve, než existuje oprava, což znamená, že tradiční správa patchů, i když je nezbytná, nemůže plně uzavřít okno expozice.

Společnosti z oblasti obrany a letectví jsou obzvláště atraktivními cíli pro skupiny, jako je Lazarus, kvůli citlivému duševnímu vlastnictví, vládním zakázkám a národněbezpečnostním dopadům spojeným s jejich prací. Stejný vzorec viděný v kampani s podvodným pracovním inzerátem ukazuje, že Lazarus často získává počáteční oporu ne prostřednictvím hrubého hackování, ale prostřednictvím sociálního inženýrství zaměřeného na jednotlivé zaměstnance, kteří jsou pak kompromitováni technickým zneužitím, jakmile je navázána důvěra.

Co to znamená pro vás

Většina čtenářů tohoto webu nejsou zaměstnanci obranných dodavatelů nebo leteckých firem, ale širší lekce platí všeobecně. Skupiny s pokročilými přetrvávajícími hrozbami, jako je Lazarus, stále častěji kombinují špičkovou kryptografii s trpělivým, cíleným sociálním inženýrstvím. To znamená, že lidský prvek – rozpoznávání podezřelých pracovních nabídek, neočekávaných příloh nebo neobvyklého kontaktu od náborářů – zůstává stejně důležitý jako technické obrany.

Použití kvantově odolné šifry útočníky je také připomínkou, že šifrování samo o sobě je neutrální technologie. Chrání legitimní soukromí a bezpečnou komunikaci stejně účinně, jako může chránit škodlivou činnost. To nemění hodnotu šifrování pro běžné uživatele chránící svá vlastní data, ale zdůrazňuje, proč monitorování sítě, detekce koncových bodů a rychlé nasazování patchů zůstávají klíčové, i když se standardy šifrování vyvíjejí.

Organizace v citlivých odvětvích by to měly brát jako signál k přezkoumání, jak rychle mohou nasadit nouzové patche a zda jejich nástroje pro monitorování sítě jsou schopny označit neobvyklé vzorce šifrovaného provozu, nejen známé signatury malwaru.

Klíčové poznatky

  • Zero-day zneužití zůstávají vážnou hrozbou právě proto, že v době útoku neexistuje žádný patch, což činí behaviorální detekci a segmentaci sítě důležitými doplňky správy patchů.
  • Kvantově odolná šifra se nyní objevuje v sadách nástrojů útočníků, nejen v obranných strategiích, což znamená, že šifrovaný provoz by nikdy neměl být považován za bezpečný.
  • Zaměstnanci v oblasti obrany, letectví a dalších vysoce hodnotných odvětvích by měli zůstat obezřetní vůči nevyžádaným pracovním nabídkám nebo kontaktu od náborářů – taktika, kterou Lazarus opakovaně použila.
  • Udržujte operační systémy a software aktualizované, jakmile jsou patche vydány, protože okna zero-day se uzavírají v okamžiku, kdy je oprava k dispozici.
  • Bezpečnostní týmy by měly investovat do nástrojů schopných odhalit anomální šifrovaný provoz a neobvyklou komunikaci serverů, nejen spoléhat na detekci založenou na signaturách.

Jak státem sponzorované skupiny pokračují ve zdokonalování svých technik, zůstávat informovaný o tom, jak se tyto útoky vyvíjejí, je jedním z nejjednodušších způsobů, jak mohou jednotlivci a organizace zůstat o krok napřed.