Lazarus використовує постквантове шифрування в атаках із використанням zero-day вразливостей

Державна група підвищує свій рівень

Північнокорейська група Lazarus була пов’язана з новою хвилею атак на оборонні та авіаційні компанії, і деталі цих атак примітні не лише через об’єкти ураження. Згідно зі звітами, група скористалася вразливістю у Windows до того, як було випущено патч, тож захисники не мали жодної можливості заздалегідь закрити цю прогалину. Щоб замести сліди, Lazarus, як повідомляється, використав постквантове шифрування та мережу скомпрометованих серверів, що значно ускладнило виявлення та нейтралізацію операції.

Це не перший випадок, коли Lazarus поєднує Windows zero-day із методами соціальної інженерії, щоб отримати доступ до організацій-цілей. Як зазначалося в попередньому звіті про використання групою Lazarus Windows zero-day у фейковій схемі працевлаштування, група має довгу історію поєднання технічних експлойтів із переконливими приманками, спрямованими на працівників у чутливих галузях. Остання кампанія проти оборонних та авіаційних фірм, схоже, повторює той самий сценарій, але з додатковим рівнем складності у вигляді шифрування.

Чому постквантове шифрування тут важливе

Постквантове шифрування зазвичай обговорюється як оборонна технологія — те, що організації впроваджують для захисту своїх даних на майбутнє від появи потужних квантових комп’ютерів, здатних зламати сучасну стандартну криптографію. Те, що його використовують у наступальних цілях — для приховування трафіку командування та контролю або викрадених даних, — є суттєвим зрушенням.

Для державної групи, як-от Lazarus, таке шифрування робить перехоплений трафік значно складнішим для аналізу дослідниками безпеки та мережевими захисниками. У поєднанні зі скомпрометованими серверами, що виконують роль ретрансляційних точок, це створює кілька рівнів обфускації між інфраструктурою атакувальника та скомпрометованими системами всередині мережі цілі. Результат — операція, яка може тривати довше, перш ніж її виявлять, даючи атакувальникам більше часу для латерального переміщення, збору облікових даних або ексфільтрації чутливих даних.

Zero-Day експлойти та межі патчингу

Використання вразливості Windows до її виправлення підкреслює постійну проблему в кібербезпеці: навіть добре забезпечені організації можуть захищатися лише від того, про що вони знають. Zero-day вразливості, за визначенням, експлуатуються до появи виправлення, а це означає, що традиційне керування патчами, хоч і є необхідним, не може повністю закрити вікно уразливості.

Оборонні та авіаційні компанії є особливо привабливими цілями для таких груп, як Lazarus, через чутливу інтелектуальну власність, державні контракти та наслідки для національної безпеки, пов’язані з їхньою роботою. Та сама схема, що спостерігалася в кампанії з фейковими вакансіями, показує, що Lazarus часто отримує первісний доступ не через грубий злам, а через соціальну інженерію, спрямовану на окремих працівників, яких потім компрометують за допомогою технічного експлойту після встановлення довіри.

Що це означає для вас

Більшість читачів цього сайту не є працівниками оборонних підрядників чи авіаційних фірм, але ширші уроки стосуються всіх. Просунуті групи постійних загроз, як-от Lazarus, дедалі частіше поєднують передову криптографію з терплячою, цілеспрямованою соціальною інженерією. Це означає, що людський фактор — розпізнавання підозрілих пропозицій роботи, несподіваних вкладень чи незвичайних контактів від рекрутерів — залишається не менш важливим, ніж технічні засоби захисту.

Використання постквантового шифрування атакувальниками також нагадує, що саме шифрування є нейтральною технологією. Воно захищає легітимну приватність і безпечний зв’язок так само ефективно, як може приховувати зловмисну діяльність. Це не змінює цінності шифрування для звичайних користувачів, які захищають власні дані, але підкреслює, чому моніторинг мережі, виявлення загроз на кінцевих точках і швидке розгортання патчів залишаються критично важливими навіть у міру розвитку стандартів шифрування.

Організації в чутливих секторах мають сприйняти це як сигнал переглянути, наскільки швидко вони можуть розгортати екстрені патчі, і чи здатні їхні інструменти моніторингу мережі виявляти незвичні патерни зашифрованого трафіку, а не лише відомі сигнатури шкідливого програмного забезпечення.

Ключові висновки

• Zero-day експлойти залишаються серйозною загрозою саме тому, що на момент атаки патча не існує, що робить поведінкове виявлення та сегментацію мережі важливими доповненнями до керування патчами.
• Постквантове шифрування тепер з’являється в інструментарії атакувальників, а не лише в оборонних стратегіях, тож зашифрований трафік сам по собі ніколи не слід вважати безпечним.
• Працівники в оборонній, авіаційній та інших високоцінних галузях мають бути обережними з небажаними пропозиціями роботи чи контактами від рекрутерів — тактикою, яку Lazarus використовував неодноразово.
• Тримайте операційні системи та програмне забезпечення оновленими одразу після випуску патчів, оскільки вікно zero-day закривається в момент появи виправлення.
• Команди безпеки мають інвестувати в інструменти, здатні виявляти аномальний зашифрований трафік і незвичну комунікацію серверів, а не покладатися лише на сигнатурне виявлення.

Оскільки державні групи продовжують удосконалювати свої методи, поінформованість про те, як розгортаються ці атаки, є одним із найпростіших способів для окремих осіб та організацій залишатися на крок попереду.