Одна из самых активных хакерских группировок Lazarus Group продолжает использовать доверенные экосистемы разработки программного обеспечения для атак на крупные организации. Вместо прямых вторжений злоумышленники внедряются в цепочку поставок ПО. Они взламывают аккаунты разработчиков популярных открытых проектов. Затем хакеры добавляют вредоносный код в легитимные обновления. Пользователи самостоятельно скачивают и устанавливают заражённое программное обеспечение, не подозревая об угрозе. В результате одна успешная операция даёт доступ к тысячам компаний сразу. Среди потенциальных жертв - банки, энергетические компании и государственные учреждения. Подобный подход обеспечивает высокую скрытность, масштабируемость и устойчивость к расследованиям. При этом деятельность группы направлена как на сбор стратегических разведывательных данных, так и на получение финансовой выгоды. За последние годы такие атаки стали одним из главных трендов в мире киберпреступности.
Описание
Ключевая особенность действий Lazarus Group - компрометация доверенных каналов распространения. Хакеры тщательно изучают популярные проекты с открытым исходным кодом. Они ищут слабые места в процессах их сопровождения. Чаще всего злоумышленники используют целевой фишинг. Они отправляют разработчикам поддельные письма, которые выглядят как официальные уведомления. В результате хакеры получают учётные данные для входа в системы. После этого они захватывают контроль над учётными записями мейнтейнеров. Это разработчики, отвечающие за выпуск обновлений. Используя легитимный доступ, злоумышленники внедряют в код вредоносные модули. Такие модули остаются незаметными при обычной проверке. Пользователи доверяют авторитету проекта и устанавливают обновление. Тем самым они открывают доступ к своим системам. Вредоносное ПО может долго работать в фоновом режиме. Оно собирает конфиденциальные данные, логины, пароли и платёжную информацию. Периодически вредоносное ПО связывается с серверами управления. Таким образом, атака развивается без активных действий хакеров после заражения. Всё это позволяет группе действовать незаметно и накапливать ресурсы для дальнейших операций.
По данным ETLM Insights, группировка использует модульные вредоносные программы и многослойное сокрытие. Вредоносное ПО может менять своё поведение в зависимости от среды запуска. Это позволяет обходить антивирусные решения и изолированные среды проверки. Если программа обнаруживает признаки анализа, она может временно бездействовать. Такая адаптивность заметно усложняет обнаружение. Заражение часто происходит в несколько этапов. Сначала загружается небольшой компонент. Затем он разворачивает основную полезную нагрузку. Такой подход позволяет скрывать вредоносную активность до нужного момента. Особое внимание Lazarus Group уделяет атакам на взаимосвязанные цепочки поставок. Компрометация одного популярного компонента может затронуть несколько отраслей. В их числе финансы, логистика и энергетика. Отчёт подчёркивает, что группа совершенствует методы обхода защиты. Также Lazarus Group использует легитимные сервисы для маскировки трафика. Вредоносное ПО обменивается данными с серверами через обычные интернет-каналы. Это делает его похожим на обычную активность. Такая тактика даёт эффект масштаба. Одна инъекция приводит к заражению огромного числа систем по всему миру.
Последствия таких атак разрушительны для пострадавших организаций. Злоумышленники получают доступ к конфиденциальным данным и финансовым системам. Они также проникают в критическую инфраструктуру. В случае с Lazarus Group неоднократно происходили хищения криптовалют со счетов бирж. Злоумышленники также проводили масштабные фишинговые кампании против банков. Утечки данных приводят к репутационным потерям и значительным штрафам регуляторов. Кроме того, злоумышленники используют вредоносные программы для шпионажа или саботажа производственных процессов. Например, атака может остановить работу завода или вывести из строя систему управления. Восстановление после таких инцидентов требует значительных финансовых затрат. В связи с этим атаки через цепочки поставок становятся главным вызовом для служб безопасности во всём мире. Организации вынуждены инвестировать в новые средства защиты и обучать персонал.
В перспективе Lazarus Group намерена расширить использование доверенных экосистем разработчиков. Ожидается, что группировка будет активнее применять искусственный интеллект. С помощью ИИ она создаст убедительные фишинговые письма. Такие письма почти невозможно отличить от настоящих. Также ИИ поможет автоматически генерировать вредоносный код. Это ускорит разработку новых вариантов атак. Кроме того, возможен анализ открытых репозиториев для поиска уязвимых проектов. Искусственный интеллект позволит быстро сканировать тысячи библиотек. Вероятно усиление методов скрытного проникновения. Это даст хакерам возможность действовать в сетях жертв длительное время без обнаружения. Такая эволюция делает угрозу серьёзной для организаций, использующих открытое ПО. Особенно уязвимы компании с современными практиками разработки. Под удар попадают и крупные корпорации, и средний бизнес. Многие из них активно применяют готовые библиотеки, не проверяя их происхождение.
Чтобы снизить риск заражения, нужно пересмотреть управление программными зависимостями. Стоит регулярно проверять обновления сторонних библиотек. Важно выявлять посторонние вставки и аномалии. Рекомендуется защищать учётные записи разработчиков многофакторной аутентификацией. Это не позволит хакерам получить доступ даже при краже пароля. Также следует строго ограничивать права доступа. Каждый сотрудник должен иметь минимум привилегий. Не менее важно ограничить автоматическую установку пакетов. Критические обновления следует проверять вручную. Для этого можно привлекать независимых специалистов. Полезно проводить аудит изменений в коде на всех этапах разработки. Это помогает своевременно выявлять подозрительные действия. Дополнительно стоит использовать системы мониторинга аномалий. Они фиксируют необычную активность вредоносного ПО. Такие меры не гарантируют полную безопасность. Однако они существенно снижают риск компрометации через доверенные компоненты. Lazarus Group продолжает адаптироваться, поэтому стратегии защиты нужно постоянно обновлять и совершенствовать.
Индикаторы компрометации
IPv4
- 104.239.66.201
- 68.183.59.139
- 73.158.81.165
- 76.229.204.88
- 91.132.144.59
Domain
- www.vetstarts.com
- www1.planetink.com
- www2.planetink.com
- zimbra.planetink.com
- zmail.vetstarts.com
YARA
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 | rule Lazarus_SupplyChain_IOC_Hunting { meta: author = "CYFIRMA" description = "Detects Lazarus-related supply chain campaign artifacts based on observed IOCs" date = "2026-08-03" actor = "Lazarus Group" tlp = "TLP:CLEAR" strings: /* Domains */ $domain1 = "zmail.vetstarts.com" ascii nocase $domain2 = "zimbra.planetink.com" ascii nocase $domain3 = "www2.planetink.com" ascii nocase $domain4 = "www1.planetink.com" ascii nocase $domain5 = "www.vetstarts.com" ascii nocase /* Installer / Payload names */ $file1 = "telloo trader.msi" ascii nocase $file2 = "c:\\windows\\installer\\5fd39b9.msi" ascii nocase $file3 = "c:\\windows\\installer\\505df9.msi" ascii nocase $file4 = "c:\\windows\\installer\\3f217f.msi" ascii nocase $file5 = "c:\\windows\\installer\\4059ff.msi" ascii nocase /* CVE References */ $cve1 = "CVE-2023-22518" ascii $cve2 = "CVE-2022-41082" ascii $cve3 = "CVE-2022-41040" ascii $cve4 = "CVE-2021-26855" ascii $cve5 = "CVE-2021-34523" ascii /* Infrastructure */ $ip1 = "91.132.144.59" ascii $ip2 = "104.239.66.201" ascii $ip3 = "73.158.81.165" ascii $ip4 = "76.229.204.88" ascii $ip5 = "68.183.59.139" ascii condition: 3 of ($domain*) or 3 of ($file*) or 3 of ($ip*) or (2 of ($domain*) and 2 of ($file*)) or (2 of ($domain*) and 2 of ($ip*)) or (2 of ($file*) and 2 of ($ip*)) or any of ($cve*) } |
