Észak-Korea Lazarus-csoportja ismét lecsapott, ezúttal egyik legrégebbi trükkjét ötvözte egyik legújabb eszközével. Egy új jelentés szerint az államilag támogatott hackercsoport hamis állásajánlatokat használt egy korábban ismeretlen Windows nulladik napi sérülékenységgel együtt, hogy behatoljon védelmi és repülőgépipari szervezetekbe. A kampány új fejezetet nyit az Operation Dream Job nevű, évek óta tartó kémkedési törekvésben, amely régóta sújtja a védelmi szektort, de ez a legújabb hullám azt mutatja, hogy a csoport hajlandó értékes, nyilvánosságra nem hozott exploitokat elégetni, hogy elérje, amit akar.
Hogyan működik a hamis állásajánlatos átverés
A támadás ismert mintát követ azok számára, akik korábban már követték a Lazarus tevékenységét. Valaki, aki toborzónak adja ki magát, felkeresi egy védelmi vagy repülőgépipari cég egyik alkalmazottját, egy olyan cégnél kínálva álláslehetőséget, amelyet a célpont felismer. A megközelítés hitelesnek tűnik, mert valós toborzási megkereséseket tükröz: professzionális üzenetek, hihető szerepkör és elég részlet ahhoz, hogy ne keltsen azonnali gyanút.
Ez nem új taktika. Ahogy korábbi cikkünkben is bemutattuk az Operation Dream Job védelmi és repülőgépipari cégek elleni támadásairól, a támadók évek óta finomítják ezeket a csalikat, hogy a hamis lehetőségek valóságosnak tűnjenek. Ami megkülönbözteti ezt a legújabb kampányt, az a beszélgetés végén leselkedő rakomány. Amint a célpont kapcsolatba lép, a támadók egy fájlt vagy linket juttatnak el, amely egy Windows nulladik napi sérülékenységet használ ki – egy olyan hibát, amely a támadás időpontjában ismeretlen volt a Microsoft számára, és nem volt javítva. Ez azt jelenti, hogy a szokásos biztonsági szoftvereknek nem volt aláírása a felismerésére, és a célpont rendszere kompromittálódhatott minden nyilvánvaló figyelmeztető jel nélkül.
A Windows nulladik napi sérülékenység szempontja
A nulladik napi sérülékenységek pontosan azért értékesek, mert ismeretlenek. Azok a támadók, akik rendelkeznek eggyel, megkerülhetik a javított védelmi rendszereket, amelyek egyébként megállítanák az ismert exploitokat. Az, hogy a Lazarus nulladik napi sérülékenységet használ itt, olyan szintű erőforrásokat és technikai kifinomultságot jelez, amely összhangban van az állami háttérrel, és olyan mintát erősít meg, amelyet a biztonsági kutatók már korábban is láttak. Tavaly például a Microsoftnak külön Windows nulladik napi sérülékenységet kellett javítania, amelyet már aktívan használtak a vadonban Lazarus-hoz köthető rosszindulatú szoftverek telepítésére, amint azt a Microsoft Lazarus-hoz köthető rootkit-hiba javításáról szóló tudósításunkban részleteztük. Függetlenül attól, hogy ezt az új sérülékenységet már javították-e, az alapvető tanulság ugyanaz: ha kizárólag a Microsoft havi frissítési ciklusára hagyatkozunk, az olyan kitettségi ablakot hagy, amelyet az elszánt támadók szívesen kihasználnak.
Miért fontos ez a védelmi vállalkozókon túl
Csábító úgy olvasni ezt a történetet, mintha csak a védelmi és repülőgépiparban dolgozó embereket érintené, de a magánéletre gyakorolt hatások messzebbre nyúlnak. A Lazarus egyéneket céloz meg, nem csak intézményeket. Az az alkalmazott, aki megkapja a hamis állásajánlatot, gyakran a hozzáférése, kapcsolatai vagy az eszközén lévő érzékeny adatok miatt van kiválasztva, nem pedig azért, mert bármi rosszat tett. Ha egyszer kompromittálódik, az az egyetlen laptop belépési ponttá válhat egy szélesebb hálózatba, feltárva személyes kommunikációt, hitelesítő adatokat és potenciálisan minősített vagy védett információkat.
Ez a kampány egy szélesebb trendet is hangsúlyoz: a szociális manipuláció továbbra is az egyik leghatékonyabb módja annak, hogy megkerüljék még a jól finanszírozott biztonsági infrastruktúrát sem. Semmilyen tűzfal vagy végpontvédelmi eszköz nem tudja teljesen ellensúlyozni egy meggyőző üzenet hatását, amely rávesz valakit egy fájl megnyitására. A nulladik napi sérülékenység veszélyesebbé tette ezt az adott támadást, de a kezdeti belépési pont – mint mindig – az emberi bizalom volt.
Mit jelent ez Önnek
A legtöbb olvasó soha nem kap Lazarus adathalász üzenetet, de az itt alkalmazott taktikák egyre gyakoribbak a kevésbé kifinomult átveréseknél is. Hamis toborzók, állásajánlatos átverések és rosszindulatú mellékletek, amelyek ajánlólevélnek vagy kódolási tesztnek adják ki magukat, rutinszerűvé váltak olyan platformokon, mint a LinkedIn és az e-mail. Ha érzékeny iparágban dolgozik – védelmi, repülőgépipari, technológiai vagy kutatási területen –, kezelje a kéretlen állásmegkereséseket ugyanolyan szkepticizmussal, mint ahogyan egy gyanús számlát vagy egy túl szépnek tűnő nyereményértesítést kezelne.
Az egyéni óvatosságon túl ez az incidens emlékeztető arra, hogy az operációs rendszer és a biztonsági szoftverek naprakészen tartása számít, még akkor is, ha egy nulladik napi sérülékenységet definíció szerint nem lehet előre javítani. Amint egy ilyen sérülékenység nyilvánosságra kerül, a szállítók általában gyorsan kiadnak egy javítást, és ennek a frissítésnek a késleltetése sebezhetővé teszi Önt azokkal a támadókkal szemben, akik visszafejtik a hibát magából a javításból.
Gyakorlati tanácsok
Ellenőrizze a toborzói megkereséseket függetlenül, mielőtt bármilyen linkre kattintana vagy mellékletet letöltene – lehetőleg úgy, hogy közvetlenül a céget keresi meg hivatalos csatornáin. Kerülje a váratlan fájlok megnyitását, még azokat is, amelyek állásleírásnak vagy felmérő tesztnek tűnnek, hacsak először nem vizsgálja át őket. Tartsa naprakészen a Windowst és az összes szoftvert, amint javítások válnak elérhetővé, mivel a nulladik napi sérülékenységeket gyakran gyorsan szélesebb körű kihasználás követi, amint a részletek kiszivárognak. És ha nagy értékű szektorban dolgozik, például védelmi vagy repülőgépipari területen, jelentse a gyanús állásajánlatokat szervezete biztonsági csapatának, ahelyett hogy egyedül kezelné őket. A Lazarus hamis állásajánlatai és Windows nulladik napi exploitja megmutatja, hogy még tapasztalt szakemberek is célponttá válhatnak rendkívül meggyőző csalikkal, de egy egészséges adag szkepticizmus és a jó biztonsági higiénia továbbra is a legjobb védekezés.
