Η ομάδα Lazarus χρησιμοποιεί zero-day των Windows σε απάτη με ψεύτικες θέσεις εργασίας

Η ομάδα Lazarus της Βόρειας Κορέας χτύπησε ξανά, αυτή τη φορά συνδυάζοντας ένα από τα παλαιότερα κόλπα της με ένα από τα νεότερα εργαλεία της. Σύμφωνα με νέα έκθεση, η κρατικά υποστηριζόμενη ομάδα χάκερ χρησιμοποίησε ψεύτικες προσφορές εργασίας μαζί με μια προηγουμένως άγνωστη ευπάθεια zero-day των Windows για να διεισδύσει σε οργανισμούς άμυνας και αεροδιαστημικής. Η εκστρατεία είναι ένα νέο κεφάλαιο στην Επιχείρηση Dream Job, μια μακροχρόνια προσπάθεια κατασκοπείας που ταλαιπωρεί τον αμυντικό τομέα εδώ και χρόνια, αλλά αυτό το τελευταίο κύμα δείχνει ότι η ομάδα είναι διατεθειμένη να κάψει πολύτιμα, μη δημοσιοποιημένα exploits για να πάρει αυτό που θέλει.

Πώς λειτουργεί η απάτη με τις ψεύτικες θέσεις εργασίας

Η επίθεση ακολουθεί ένα γνώριμο μοτίβο για όποιον έχει παρακολουθήσει ξανά τη δραστηριότητα της Lazarus. Κάποιος που παριστάνει τον υπεύθυνο προσλήψεων επικοινωνεί με έναν εργαζόμενο σε εταιρεία άμυνας ή αεροδιαστημικής, προβάλλοντας μια ευκαιρία εργασίας σε μια εταιρεία που ο στόχος θα αναγνώριζε. Η προσέγγιση φαίνεται νόμιμη επειδή μιμείται πραγματική επικοινωνία πρόσληψης: επαγγελματικά μηνύματα, ένας εύλογος ρόλος και αρκετή λεπτομέρεια για να μην προκληθεί άμεση υποψία.

Αυτή δεν είναι νέα τακτική. Όπως καλύψαμε στην προηγούμενη ανάλυσή μας για το Operation Dream Job που πλήττει εταιρείες άμυνας και αεροδιαστημικής, οι επιτιθέμενοι περνούν χρόνια τελειοποιώντας αυτά τα δολώματα ώστε οι ψεύτικες ευκαιρίες να μοιάζουν αληθινές. Αυτό που διαφοροποιεί αυτή την τελευταία εκστρατεία είναι το ωφέλιμο φορτίο που περιμένει στο τέλος της συνομιλίας. Μόλις ο στόχος ανταποκριθεί, οι επιτιθέμενοι παραδίδουν ένα αρχείο ή σύνδεσμο που εκμεταλλεύεται ένα zero-day των Windows, ένα σφάλμα που ήταν άγνωστο στη Microsoft και χωρίς επιδιόρθωση τη στιγμή της επίθεσης. Αυτό σημαίνει ότι το τυπικό λογισμικό ασφαλείας δεν είχε υπογραφή για να το εντοπίσει και το σύστημα του στόχου μπορούσε να παραβιαστεί χωρίς εμφανή προειδοποιητικά σημάδια.

Η διάσταση του zero-day των Windows

Οι ευπάθειες μηδενικής ημέρας είναι πολύτιμες ακριβώς επειδή είναι άγνωστες. Οι επιτιθέμενοι που διαθέτουν μία μπορούν να παρακάμψουν επιδιορθωμένες άμυνες που κανονικά θα σταματούσαν ένα γνωστό exploit. Το γεγονός ότι η Lazarus χρησιμοποιεί ένα zero-day εδώ υποδηλώνει επίπεδο πόρων και τεχνικής εξειδίκευσης που συνάδει με κρατική υποστήριξη και επαναλαμβάνει ένα μοτίβο που έχουν δει στο παρελθόν ερευνητές ασφαλείας. Μόλις πέρυσι, η Microsoft χρειάστηκε να επιδιορθώσει ένα ξεχωριστό zero-day των Windows που ήδη χρησιμοποιούνταν ενεργά για την εγκατάσταση κακόβουλου λογισμικού συνδεδεμένου με τη Lazarus, όπως περιγράψαμε στην κάλυψή μας για την επιδιόρθωση της Microsoft για ένα ελάττωμα rootkit συνδεδεμένο με τη Lazarus. Είτε αυτή η νέα ευπάθεια έχει επιδιορθωθεί είτε όχι, το υποκείμενο δίδαγμα είναι το ίδιο: η εξάρτηση αποκλειστικά από τον μηνιαίο κύκλο ενημερώσεων της Microsoft αφήνει ένα παράθυρο έκθεσης που οι αποφασισμένοι επιτιθέμενοι είναι πρόθυμοι να εκμεταλλευτούν.

Γιατί έχει σημασία πέρα από τους εργολάβους άμυνας

Είναι δελεαστικό να διαβάσει κανείς αυτή την ιστορία ως κάτι που επηρεάζει μόνο ανθρώπους που εργάζονται στην άμυνα και την αεροδιαστημική, αλλά οι επιπτώσεις στην ιδιωτικότητα φτάνουν μακρύτερα. Η Lazarus στοχεύει άτομα, όχι μόνο θεσμούς. Ο εργαζόμενος που λαμβάνει την ψεύτικη προσφορά εργασίας συχνά επιλέγεται λόγω της πρόσβασής του, των επαφών του ή των ευαίσθητων δεδομένων στη συσκευή του, όχι επειδή έκανε κάτι λάθος. Μόλις παραβιαστεί, αυτός ο μεμονωμένος φορητός υπολογιστής μπορεί να γίνει πάτημα για πρόσβαση σε ένα ευρύτερο δίκτυο, εκθέτοντας προσωπικές επικοινωνίες, διαπιστευτήρια και ενδεχομένως διαβαθμισμένες ή ιδιόκτητες πληροφορίες.

Αυτή η εκστρατεία υπογραμμίζει επίσης μια ευρύτερη τάση: η κοινωνική μηχανική παραμένει ένας από τους πιο αποτελεσματικούς τρόπους παράκαμψης ακόμη και καλά χρηματοδοτούμενων υποδομών ασφαλείας. Κανένα τείχος προστασίας ή εργαλείο προστασίας τελικών σημείων δεν μπορεί να αντισταθμίσει πλήρως ένα πειστικό μήνυμα που πείθει κάποιον να ανοίξει ένα αρχείο. Το zero-day έκανε τη συγκεκριμένη επίθεση πιο επικίνδυνη, αλλά το αρχικό σημείο εισόδου ήταν, όπως πάντα, η ανθρώπινη εμπιστοσύνη.

Τι σημαίνει αυτό για εσάς

Οι περισσότεροι αναγνώστες δεν θα λάβουν ποτέ μήνυμα phishing της Lazarus, αλλά οι τακτικές εδώ γίνονται ολοένα και πιο συνηθισμένες και σε λιγότερο εξελιγμένες απάτες. Ψεύτικοι υπεύθυνοι προσλήψεων, απάτες με θέσεις εργασίας και κακόβουλα συνημμένα που μεταμφιέζονται σε επιστολές προσφοράς ή δοκιμασίες κώδικα έχουν γίνει ρουτίνα σε πλατφόρμες όπως το LinkedIn και το email. Εάν εργάζεστε σε ευαίσθητο κλάδο — άμυνα, αεροδιαστημική, τεχνολογία ή έρευνα — αντιμετωπίστε την ανεπιθύμητη επικοινωνία για εργασία με τον ίδιο σκεπτικισμό που θα εφαρμόζατε σε ένα ύποπτο τιμολόγιο ή σε μια ειδοποίηση επάθλου που είναι πολύ καλή για να είναι αληθινή.

Πέρα από την ατομική προσοχή, αυτό το περιστατικό υπενθυμίζει ότι η ενημέρωση του λειτουργικού σας συστήματος και του λογισμικού ασφαλείας έχει σημασία, ακόμη κι αν ένα zero-day εξ ορισμού δεν μπορεί να επιδιορθωθεί εκ των προτέρων. Μόλις μια τέτοια ευπάθεια γίνει δημόσια, οι προμηθευτές συνήθως κινούνται γρήγορα για να εκδώσουν μια επιδιόρθωση και η καθυστέρηση αυτής της ενημέρωσης σας αφήνει εκτεθειμένους σε επιτιθέμενους που κάνουν αντίστροφη μηχανική στο ελάττωμα από την ίδια την επιδιόρθωση.

Πρακτικά συμπεράσματα

Επαληθεύστε ανεξάρτητα την επικοινωνία από υπεύθυνους προσλήψεων προτού κάνετε κλικ σε συνδέσμους ή κατεβάσετε συνημμένα, ιδανικά επικοινωνώντας απευθείας με την εταιρεία μέσω των επίσημων καναλιών της. Αποφύγετε το άνοιγμα απροσδόκητων αρχείων, ακόμη κι αν μοιάζουν με περιγραφές θέσεων εργασίας ή δοκιμασίες αξιολόγησης, χωρίς να τα σαρώσετε πρώτα. Διατηρήστε τα Windows και όλο το λογισμικό ενημερωμένα μόλις γίνουν διαθέσιμες οι επιδιορθώσεις, καθώς τα zero-days συχνά ακολουθούνται γρήγορα από ευρύτερη εκμετάλλευση μόλις διαρρεύσουν λεπτομέρειες. Και αν εργάζεστε σε τομέα υψηλής αξίας όπως η άμυνα ή η αεροδιαστημική, αναφέρετε ύποπτες προσφορές εργασίας στην ομάδα ασφαλείας του οργανισμού σας αντί να τις διαχειριστείτε μόνοι σας. Οι ψεύτικες προσφορές εργασίας της Lazarus και το exploit zero-day των Windows δείχνουν ότι ακόμη και έμπειροι επαγγελματίες μπορούν να στοχοποιηθούν με εξαιρετικά πειστικά δολώματα, αλλά μια υγιής δόση σκεπτικισμού και καλή υγιεινή ασφαλείας παραμένουν η καλύτερη άμυνά σας.