Lazarus Utilizza la Crittografia Resistente ai Quantum negli Attacchi Zero-Day

Un Gruppo Sostenuto da uno Stato Alza l'Asticella

Il Gruppo Lazarus della Corea del Nord è stato collegato a una nuova ondata di attacchi contro aziende della difesa e dell'aviazione, e i dettagli sono notevoli non solo per i bersagli. Secondo le segnalazioni, il gruppo ha sfruttato una falla in Windows prima che fosse disponibile una patch, il che significa che i difensori non hanno avuto alcuna possibilità di chiudere il varco in anticipo. Per coprire le proprie tracce, Lazarus avrebbe fatto affidamento su crittografia resistente ai quantum e su una rete di server compromessi, rendendo l'operazione significativamente più difficile da individuare e smantellare.

Non è la prima volta che Lazarus combina uno zero-day di Windows con tecniche di ingegneria sociale per ottenere un punto d'appoggio all'interno delle organizzazioni bersaglio. Come già trattato in un precedente rapporto sull'uso di uno zero-day di Windows da parte del Gruppo Lazarus in una truffa di finte offerte di lavoro, il gruppo ha un curriculum nel combinare exploit tecnici con esche convincenti rivolte ai dipendenti di settori sensibili. L'ultima campagna contro aziende della difesa e dell'aviazione sembra seguire lo stesso copione, ma con un livello aggiuntivo di sofisticazione crittografica.

Perché la Crittografia Resistente ai Quantum è Importante Qui

La crittografia resistente ai quantum viene tipicamente discussa come una tecnologia difensiva, qualcosa che le organizzazioni adottano per proteggere i propri dati in prospettiva futura contro l'eventuale arrivo di potenti computer quantistici capaci di rompere la crittografia standard di oggi. Vederla usata offensivamente, da un attaccante per nascondere il traffico di comando e controllo o i dati rubati, rappresenta un cambiamento significativo.

Per un gruppo sponsorizzato da uno Stato come Lazarus, questo tipo di crittografia rende il traffico intercettato molto più difficile da analizzare per i ricercatori di sicurezza e i difensori di rete. Combinata con server compromessi che fungono da punti di relay, aggiunge più livelli di offuscamento tra l'infrastruttura dell'attaccante e i sistemi compromessi all'interno della rete del bersaglio. Il risultato è un'operazione che può persistere più a lungo prima di essere scoperta, dando agli attaccanti più tempo per muoversi lateralmente, rubare credenziali o esfiltrare dati sensibili.

Exploit Zero-Day e i Limiti delle Patch

L'uso di una falla di Windows prima che fosse patchata sottolinea un problema persistente nella cybersecurity: anche le organizzazioni ben dotate di risorse possono difendersi solo da ciò che conoscono. Le vulnerabilità zero-day, per definizione, vengono sfruttate prima che esista una correzione, il che significa che la gestione tradizionale delle patch, pur essendo essenziale, non può chiudere completamente la finestra di esposizione.

Le aziende della difesa e dell'aviazione sono bersagli particolarmente attraenti per gruppi come Lazarus a causa della proprietà intellettuale sensibile, dei contratti governativi e delle implicazioni per la sicurezza nazionale legate al loro lavoro. Lo stesso schema osservato nella campagna di truffa con finte offerte di lavoro mostra che Lazarus spesso ottiene il suo punto d'appoggio iniziale non tramite hacking brute-force, ma attraverso l'ingegneria sociale rivolta ai singoli dipendenti, che vengono poi compromessi tramite un exploit tecnico una volta stabilita la fiducia.

Cosa Significa Questo Per Te

La maggior parte dei lettori di questo sito non sono dipendenti di appaltatori della difesa o aziende aeronautiche, ma le lezioni più ampie si applicano ovunque. I gruppi di minaccia persistente avanzata come Lazarus combinano sempre più spesso crittografia all'avanguardia con un'ingegneria sociale paziente e mirata. Ciò significa che l'elemento umano — riconoscere offerte di lavoro sospette, allegati inattesi o contatti insoliti da parte di recruiter — rimane importante quanto le difese tecniche.

L'uso della crittografia resistente ai quantum da parte degli attaccanti è anche un promemoria che la crittografia stessa è una tecnologia neutrale. Protegge la privacy legittima e le comunicazioni sicure con la stessa efficacia con cui può proteggere attività dannose. Questo non cambia il valore della crittografia per gli utenti comuni che proteggono i propri dati, ma evidenzia perché il monitoraggio di rete, il rilevamento degli endpoint e la rapida distribuzione delle patch rimangano critici anche mentre gli standard crittografici si evolvono.

Le organizzazioni in settori sensibili dovrebbero interpretare questo come un segnale per rivedere la rapidità con cui possono distribuire patch di emergenza e se i loro strumenti di monitoraggio di rete sono in grado di segnalare pattern insoliti di traffico crittografato, non solo firme note di malware.

Punti Chiave

• Gli exploit zero-day rimangono una minaccia seria proprio perché non esiste alcuna patch al momento dell'attacco, rendendo il rilevamento comportamentale e la segmentazione di rete complementi importanti alla gestione delle patch.
• La crittografia resistente ai quantum sta ora apparendo nei toolkit degli attaccanti, non solo nelle strategie difensive, il che significa che il traffico crittografato da solo non dovrebbe mai essere considerato sicuro.
• I dipendenti nei settori della difesa, dell'aviazione e in altri settori ad alto valore dovrebbero rimanere cauti rispetto a offerte di lavoro non richieste o contatti da parte di recruiter, una tattica che Lazarus ha usato ripetutamente.
• Mantieni aggiornati sistemi operativi e software appena vengono rilasciate le patch, poiché le finestre zero-day si chiudono nel momento in cui è disponibile una correzione.
• I team di sicurezza dovrebbero investire in strumenti in grado di individuare traffico crittografato anomalo e comunicazioni insolite con i server, non limitandosi a fare affidamento sul rilevamento basato su firme.

Mentre i gruppi sponsorizzati da Stati continuano a perfezionare le loro tecniche, rimanere informati su come si svolgono questi attacchi è uno dei modi più semplici con cui individui e organizzazioni possono restare un passo avanti.