Lazarus utilise un chiffrement résistant aux quantiques dans des attaques zero-day

Un groupe soutenu par un État élève son niveau de jeu

Le groupe Lazarus de la Corée du Nord a été lié à une nouvelle vague d'attaques contre des entreprises de défense et d'aviation, et les détails sont notables pour plus que les seules cibles. Selon les rapports, le groupe a exploité une faille dans Windows avant qu'un correctif ne soit disponible, ce qui signifie que les défenseurs n'avaient aucune chance de combler la brèche à l'avance. Pour couvrir ses traces, Lazarus aurait eu recours à un chiffrement résistant aux quantiques et à un réseau de serveurs compromis, rendant l'opération nettement plus difficile à détecter et à démanteler.

Ce n'est pas la première fois que Lazarus combine un zero-day Windows avec des tactiques d'ingénierie sociale pour obtenir un point d'appui au sein des organisations ciblées. Comme cela a été couvert dans un précédent rapport sur l'utilisation par le groupe Lazarus d'un zero-day Windows dans une fausse offre d'emploi, le groupe a un historique d'association d'exploits techniques avec des appâts convaincants destinés aux employés de secteurs sensibles. La dernière campagne contre les entreprises de défense et d'aviation semble suivre ce même schéma, mais avec une couche supplémentaire de sophistication en matière de chiffrement.

Pourquoi le chiffrement résistant aux quantiques est important ici

Le chiffrement résistant aux quantiques est généralement abordé comme une technologie défensive, quelque chose que les organisations adoptent pour protéger leurs données contre l'arrivée éventuelle d'ordinateurs quantiques puissants capables de casser la cryptographie standard d'aujourd'hui. Le voir utilisé de manière offensive, par un attaquant pour dissimuler le trafic de commande et de contrôle ou les données volées, est un changement significatif.

Pour un groupe soutenu par un État comme Lazarus, ce type de chiffrement rend le trafic intercepté beaucoup plus difficile à analyser pour les chercheurs en sécurité et les défenseurs de réseaux. Combiné à des serveurs compromis agissant comme points de relais, cela ajoute plusieurs couches d'obscurcissement entre l'infrastructure de l'attaquant et les systèmes compromis à l'intérieur du réseau de la cible. Le résultat est une opération qui peut persister plus longtemps avant d'être découverte, donnant aux attaquants plus de temps pour se déplacer latéralement, récolter des identifiants ou exfiltrer des données sensibles.

Les exploits zero-day et les limites du déploiement des correctifs

L'utilisation d'une faille Windows avant son correctif souligne un problème persistant en cybersécurité : même les organisations bien dotées en ressources ne peuvent se défendre que contre ce qu'elles connaissent. Les vulnérabilités zero-day, par définition, sont exploitées avant qu'un correctif n'existe, ce qui signifie que la gestion traditionnelle des correctifs, bien qu'essentielle, ne peut pas entièrement combler la fenêtre d'exposition.

Les entreprises de défense et d'aviation sont des cibles particulièrement attractives pour des groupes comme Lazarus en raison de la propriété intellectuelle sensible, des contrats gouvernementaux et des implications en matière de sécurité nationale liés à leur travail. Le même schéma observé dans la campagne de fausses offres d'emploi montre que Lazarus obtient souvent son point d'appui initial non pas par du piratage brut, mais par l'ingénierie sociale visant des employés individuels, qui sont ensuite compromis par un exploit technique une fois la confiance établie.

Ce que cela signifie pour vous

La plupart des lecteurs de ce site ne sont pas des employés d'entreprises de défense ou d'aviation, mais les leçons plus larges s'appliquent largement. Les groupes de menaces persistantes avancées comme Lazarus combinent de plus en plus une cryptographie de pointe avec une ingénierie sociale patiente et ciblée. Cela signifie que l'élément humain, reconnaître les offres d'emploi suspectes, les pièces jointes inattendues ou les contacts inhabituels de recruteurs, reste tout aussi important que les défenses techniques.

L'utilisation d'un chiffrement résistant aux quantiques par les attaquants est également un rappel que le chiffrement lui-même est une technologie neutre. Il protège la confidentialité légitime et les communications sécurisées tout aussi efficacement qu'il peut protéger une activité malveillante. Cela ne change pas la valeur du chiffrement pour les utilisateurs quotidiens qui protègent leurs propres données, mais cela souligne pourquoi la surveillance réseau, la détection des points de terminaison et le déploiement rapide des correctifs restent essentiels même à mesure que les normes de chiffrement évoluent.

Les organisations dans les secteurs sensibles doivent considérer cela comme un signal pour examiner la rapidité avec laquelle elles peuvent déployer des correctifs d'urgence, et si leurs outils de surveillance réseau sont capables de signaler des schémas de trafic chiffré inhabituels, pas seulement des signatures de logiciels malveillants connues.

Points clés à retenir

• Les exploits zero-day restent une menace sérieuse précisément parce qu'aucun correctif n'existe au moment de l'attaque, ce qui rend la détection comportementale et la segmentation du réseau des compléments importants à la gestion des correctifs.
• Le chiffrement résistant aux quantiques apparaît désormais dans les boîtes à outils des attaquants, pas seulement dans les stratégies défensives, ce qui signifie que le trafic chiffré seul ne doit jamais être considéré comme sûr.
• Les employés des secteurs de la défense, de l'aviation et d'autres secteurs à forte valeur doivent rester prudents face aux offres d'emploi non sollicitées ou aux contacts de recruteurs, une tactique que Lazarus a utilisée à plusieurs reprises.
• Maintenez les systèmes d'exploitation et les logiciels à jour dès que les correctifs sont publiés, car les fenêtres zero-day se ferment au moment où un correctif devient disponible.
• Les équipes de sécurité devraient investir dans des outils capables de repérer le trafic chiffré anormal et les communications serveur inhabituelles, plutôt que de se reposer uniquement sur la détection par signatures.

Alors que les groupes soutenus par des États continuent d'affiner leurs techniques, rester informé sur la façon dont ces attaques se déroulent est l'un des moyens les plus simples pour les individus et les organisations de garder une longueur d'avance.