Sjevernokorejska Lazarus grupa ponovno je udarila, ovaj put kombinirajući jedan od svojih najstarijih trikova s jednim od svojih najnovijih alata. Prema novom izvješću, hakerska skupina pod pokroviteljstvom države koristila je lažne ponude za posao zajedno s prethodno nepoznatom Windows zero-day ranjivošću kako bi se infiltrirala u obrambene i zrakoplovne organizacije. Kampanja je novo poglavlje u operaciji Dream Job, dugotrajnom špijunskom naporu koji već godinama muči obrambeni sektor, no ovaj posljednji val pokazuje da je skupina spremna potrošiti vrijedne, neotkrivene exploitove kako bi dobila ono što želi.
Kako funkcionira prijevara s lažnim poslom
Napad slijedi poznati obrazac svima koji su već pratili aktivnosti Lazarusa. Netko tko se predstavlja kao regruter javlja se zaposleniku u obrambenoj ili zrakoplovnoj tvrtki te nudi priliku za posao u poduzeću koje bi meta prepoznala. Pristup djeluje uvjerljivo jer oponaša stvarno regrutiranje: profesionalne poruke, uvjerljiva radna pozicija i dovoljno detalja da odmah ne izazove sumnju.
To nije nova taktika. Kao što smo naveli u ranijem osvrtu na operaciju Dream Job koja pogađa obrambene i zrakoplovne tvrtke, napadači godinama usavršavaju te mamce kako bi lažne prilike djelovale stvarno. Ono što ovu najnoviju kampanju izdvaja jest teret koji čeka na kraju razgovora. Nakon što meta odgovori, napadači isporuče datoteku ili poveznicu koja iskorištava Windows zero-day ranjivost, propust koji je Microsoftu bio nepoznat i nezakrpan u trenutku napada. To znači da standardni sigurnosni softver nije imao potpis za otkrivanje, a sustav mete mogao je biti kompromitiran bez očitih znakova upozorenja.
Kut Windows zero-day ranjivosti
Zero-day ranjivosti vrijedne su upravo zato što su nepoznate. Napadači koji ih posjeduju mogu zaobići zakrpane obrane koje bi inače zaustavile poznati exploit. To što Lazarus ovdje koristi zero-day ranjivost signalizira razinu resursa i tehničke sofisticiranosti koja odgovara državnoj potpori te ponavlja obrazac koji su sigurnosni istraživači već vidjeli. Prošle je godine Microsoft morao zakrpati zasebnu Windows zero-day ranjivost koja se već aktivno koristila u napadima za instaliranje zlonamjernog softvera povezanog s Lazarusom, kao što smo detaljno opisali u našem tekstu o Microsoftovoj zakrpi za ranjivost rootkita povezanu s Lazarusom. Bez obzira na to je li ova nova ranjivost već zakrpana, temeljna je lekcija ista: oslanjanje isključivo na Microsoftov mjesečni ciklus ažuriranja ostavlja prozor izloženosti koji su odlučni napadači željni iskoristiti.
Zašto je to važno i izvan obrambenih izvođača
Primamljivo je ovo tumačiti kao priču koja pogađa samo ljude koji rade u obrambenom i zrakoplovnom sektoru, no implikacije za privatnost sežu dalje. Lazarus cilja pojedince, a ne samo institucije. Zaposlenik koji primi lažnu ponudu za posao često je odabran zbog svojeg pristupa, kontakata ili osjetljivih podataka na svojem uređaju, a ne zato što je učinio nešto pogrešno. Kad se jednom kompromitira, to jedno prijenosno računalo može postati uporište za prodor u širu mrežu, izlažući osobne komunikacije, vjerodajnice i potencijalno povjerljive ili zaštićene informacije.
Ova kampanja također naglašava širi trend: društveni inženjering i dalje je jedan od najučinkovitijih načina za zaobilaženje čak i dobro financirane sigurnosne infrastrukture. Nijedan vatrozid ni alat za zaštitu krajnjih točaka ne može u potpunosti nadoknaditi uvjerljivu poruku koja nekoga nagovori da otvori datoteku. Zero-day ranjivost učinila je ovaj napad opasnijim, no početna ulazna točka bilo je, kao i uvijek, ljudsko povjerenje.
Što to znači za vas
Većina čitatelja nikada neće primiti Lazarusovu phishing poruku, no taktike opisane ovdje sve su češće i u manje sofisticiranim prijevarama. Lažni regruteri, prijevare s poslovima i zlonamjerni privici maskirani kao pisma ponude ili testovi kodiranja postali su uobičajeni na platformama poput LinkedIna i u e-pošti. Ako radite u osjetljivoj industriji, obrani, zrakoplovstvu, tehnologiji ili istraživanju, prema neželjenim porukama o zapošljavanju odnosite se s istim skepticizmom koji biste primijenili na sumnjiv račun ili obavijest o nagradi koja zvuči predobro da bi bila istinita.
Osim osobnog opreza, ovaj incident podsjetnik je da je važno održavati operativni sustav i sigurnosni softver ažuriranima, iako se zero-day ranjivost po definiciji ne može zakrpati unaprijed. Nakon što ovakva ranjivost postane javna, dobavljači obično brzo objave popravak, a odgađanje tog ažuriranja ostavlja vas izloženima napadačima koji rekonstruiraju propust iz same zakrpe.
Preporuke za djelovanje
Neovisno provjerite kontakt regrutera prije nego što kliknete bilo kakve poveznice ili preuzmete privitke, idealno tako da izravno kontaktirate tvrtku putem njezinih službenih kanala. Izbjegavajte otvaranje neočekivanih datoteka, čak i onih koje izgledaju kao opisi poslova ili testovi procjene, bez prethodnog skeniranja. Ažurirajte Windows i sav softver čim zakrpe postanu dostupne jer nakon curenja detalja o zero-day ranjivostima često brzo slijedi šire iskorištavanje. Ako radite u sektoru visoke vrijednosti poput obrane ili zrakoplovstva, prijavite sumnjive ponude za posao sigurnosnom timu svoje organizacije umjesto da ih rješavate sami. Lazarusove lažne ponude za posao i Windows zero-day exploit pokazuju da čak i iskusni profesionalci mogu biti meta vrlo uvjerljivih mamaca, no zdrava doza skepticizma i dobra sigurnosna higijena ostaju vaša najbolja obrana.
