Lazarus stosuje szyfrowanie odporne na ataki komputerów kwantowych w atakach typu zero-day

Sponsorowana przez państwo grupa podnosi poprzeczkę

Północnokoreańska grupa Lazarus została powiązana z nową falą ataków na firmy z sektora obronnego i lotniczego, a szczegóły są istotne nie tylko ze względu na cele. Według doniesień, grupa wykorzystała lukę w systemie Windows, zanim dostępna była poprawka, co oznacza, że obrońcy nie mieli szans na wcześniejsze zamknięcie luki. Aby zatrzeć ślady, Lazarus rzekomo korzystał z szyfrowania odpornego na ataki komputerów kwantowych oraz sieci przejętych serwerów, co znacznie utrudniło wykrycie i rozpracowanie operacji.

To nie pierwszy raz, kiedy Lazarus łączy lukę typu zero-day w systemie Windows z technikami inżynierii społecznej, aby uzyskać punkt zaczepienia w organizacjach będących celem ataku. Jak opisano w poprzednim raporcie na temat wykorzystania luki zero-day w systemie Windows przez grupę Lazarus w fałszywej ofercie pracy, grupa ma na koncie łączenie technicznych exploitów z przekonującymi przynętami skierowanymi do pracowników w wrażliwych branżach. Najnowsza kampania przeciwko firmom obronnym i lotniczym wydaje się podążać tym samym schematem, ale z dodatkową warstwą zaawansowanego szyfrowania.

Dlaczego szyfrowanie odporne na ataki komputerów kwantowych ma tutaj znaczenie

Szyfrowanie odporne na ataki komputerów kwantowych jest zwykle omawiane jako technologia obronna, coś, co organizacje wdrażają, aby zabezpieczyć swoje dane na przyszłość przed pojawieniem się potężnych komputerów kwantowych zdolnych złamać dzisiejszą standardową kryptografię. Widok jej ofensywnego użycia przez atakującego do ukrywania ruchu dowodzenia i kontroli lub skradzionych danych to znacząca zmiana.

Dla sponsorowanej przez państwo grupy, takiej jak Lazarus, tego rodzaju szyfrowanie sprawia, że przechwycony ruch jest znacznie trudniejszy do analizy dla badaczy bezpieczeństwa i obrońców sieci. W połączeniu z przejętymi serwerami pełniącymi rolę punktów przekaźnikowych dodaje to wiele warstw zaciemnienia między infrastrukturą atakującego a zainfekowanymi systemami w sieci ofiary. Efektem jest operacja, która może przetrwać dłużej, zanim zostanie wykryta, dając atakującym więcej czasu na ruch boczny, kradzież poświadczeń lub eksfiltrację wrażliwych danych.

Exploity zero-day i ograniczenia łatania

Wykorzystanie luki w systemie Windows przed jej załataniem podkreśla trwały problem w cyberbezpieczeństwie: nawet dobrze wyposażone organizacje mogą bronić się tylko przed tym, o czym wiedzą. Podatności typu zero-day z definicji są wykorzystywane, zanim powstanie poprawka, co oznacza, że tradycyjne zarządzanie łatami, choć niezbędne, nie może w pełni zamknąć okna ekspozycji.

Firmy z sektora obronnego i lotniczego są szczególnie atrakcyjnymi celami dla grup takich jak Lazarus ze względu na wrażliwą własność intelektualną, kontrakty rządowe i implikacje dla bezpieczeństwa narodowego związane z ich działalnością. Ten sam wzorzec widoczny w kampanii z fałszywą ofertą pracy pokazuje, że Lazarus często uzyskuje początkowy punkt zaczepienia nie dzięki atakom brute-force, ale dzięki inżynierii społecznej wymierzonej w poszczególnych pracowników, którzy następnie są kompromitowani przez techniczny exploit po nawiązaniu zaufania.

Co to oznacza dla Ciebie

Większość czytelników tej strony to nie pracownicy wykonawców zbrojeniowych ani firm lotniczych, ale szersze wnioski mają uniwersalne zastosowanie. Zaawansowane grupy APT, takie jak Lazarus, coraz częściej łączą nowoczesną kryptografię z cierpliwą, ukierunkowaną inżynierią społeczną. Oznacza to, że czynnik ludzki — rozpoznawanie podejrzanych ofert pracy, nieoczekiwanych załączników lub nietypowego kontaktu ze strony rekrutera — pozostaje równie ważny jak zabezpieczenia techniczne.

Użycie szyfrowania odpornego na ataki komputerów kwantowych przez atakujących to także przypomnienie, że samo szyfrowanie jest technologią neutralną. Chroni uzasadnioną prywatność i bezpieczną komunikację równie skutecznie, jak może osłaniać złośliwą działalność. Nie zmienia to wartości szyfrowania dla zwykłych użytkowników chroniących własne dane, ale podkreśla, dlaczego monitorowanie sieci, wykrywanie na punktach końcowych i szybkie wdrażanie poprawek pozostają kluczowe, nawet gdy standardy szyfrowania ewoluują.

Organizacje w wrażliwych sektorach powinny potraktować to jako sygnał do przeanalizowania, jak szybko mogą wdrażać awaryjne poprawki oraz czy ich narzędzia do monitorowania sieci są w stanie wychwytywać nietypowe wzorce zaszyfrowanego ruchu, a nie tylko znane sygnatury złośliwego oprogramowania.

Kluczowe wnioski

• Exploity typu zero-day pozostają poważnym zagrożeniem właśnie dlatego, że w momencie ataku nie istnieje żadna poprawka, co sprawia, że wykrywanie behawioralne i segmentacja sieci są ważnym uzupełnieniem zarządzania łatami.
• Szyfrowanie odporne na ataki komputerów kwantowych pojawia się obecnie w zestawach narzędzi atakujących, a nie tylko w strategiach obronnych, co oznacza, że sam zaszyfrowany ruch nigdy nie powinien być uznawany za bezpieczny.
• Pracownicy w sektorze obronnym, lotniczym i innych branżach o wysokiej wartości powinni zachować ostrożność wobec nieproszonych ofert pracy lub kontaktu ze strony rekruterów — taktyki, którą Lazarus stosował wielokrotnie.
• Aktualizuj systemy operacyjne i oprogramowanie natychmiast po wydaniu poprawek, ponieważ okna zero-day zamykają się w momencie udostępnienia poprawki.
• Zespoły ds. bezpieczeństwa powinny inwestować w narzędzia zdolne do wykrywania anomalii w zaszyfrowanym ruchu i nietypowej komunikacji serwerowej, a nie polegać wyłącznie na wykrywaniu opartym na sygnaturach.

W miarę jak grupy sponsorowane przez państwo doskonalą swoje techniki, bieżące śledzenie informacji o tym, jak przebiegają te ataki, jest jednym z najprostszych sposobów, aby osoby i organizacje mogły wyprzedzać zagrożenia.