Lazarus ataca a contratistas aeroespaciales y de defensa en todo el mundo mientras hacen un mal uso de LinkedIn y WhatsApp

Durante la conferencia ESET World 2022, especialistas de ESET, compañía líder en detección proactiva de amenazas, presentaron una nueva investigación sobre el infame grupo Lazarus APT. El director de ESET Threat Research, Jean-Ian Boutin, repasó las nuevas campañas perpetradas por el grupo Lazarus contra contratistas de defensa en todo el mundo entre finales de 2021 y marzo de 2022.

En los ataques relevantes de 2021-2022, y según la telemetría de ESET, Lazarus apuntó a empresas en Europa (Francia, Italia, Alemania, Países Bajos, Polonia y Ucrania) y América Latina (Brasil).

A pesar de que el objetivo principal de esta operación de Lazarus es el ciberespionaje, el grupo también intentó extraer dinero (sin éxito). “El grupo de amenazas Lazarus mostró su ingenio al implementar un interesante conjunto de herramientas, que incluye, por ejemplo, un componente de modo de usuario capaz de explotar un controlador vulnerable de Dell para escribir en la memoria del kernel. Este truco avanzado se usó en un intento de eludir el monitoreo de las soluciones de seguridad”, dice Jean-Ian Boutin.

Durante el 2020, especialistas de ESET habían documentado una campaña llevada a cabo por un subgrupo de Lazarus contra contratistas aeroespaciales y de defensa europeos, ESET llamó a la operación In(ter)ception. Esta campaña fue notable ya que utilizó las redes sociales, especialmente LinkedIn, para generar confianza entre el atacante y un empleado desprevenido antes de enviarles componentes maliciosos disfrazados de descripciones de trabajo o aplicaciones. En ese momento, ya habían sido atacadas empresas de Brasil, República Checa, Qatar, Turquía y Ucrania.

El equipo de investigación de ESET creía que la acción estaba dirigida principalmente a atacar a empresas europeas, pero al rastrear varios subgrupos de Lazarus que realizaban campañas similares contra contratistas de defensa, pronto se dieron cuenta de que la campaña se extendía mucho más. Si bien los tipos de malware utilizados en las distintas campañas fueron diferentes, el modus operandi inicial siempre fue el mismo: un reclutador falso contactó a un empleado a través de LinkedIn y finalmente envió componentes maliciosos.

En este sentido, el grupo continuó con la misma metodología que en el pasado. Sin embargo, desde ESET documentaron la reutilización de elementos legítimos de campañas de contratación para agregar legitimidad a las campañas de sus reclutadores falsos. Además, los atacantes utilizaron servicios como WhatsApp o Slack en sus campañas maliciosas.

En 2021, el Departamento de Justicia de EE. UU. acusó a tres programadores de IT de ciberataques mientras trabajaban para el ejército de Corea del Norte. Según el gobierno de EE. UU., pertenecían a la unidad militar de piratas informáticos de Corea del Norte conocida en la comunidad de seguridad de la información como Grupo Lazarus.

Junto con la nueva investigación de Lazarus, durante la conferencia anual, ESET presentó su informe sobre la “Ciberguerra pasada y presente en Ucrania”. El investigador de ESET, Robert Lipovský, analizó en profundidad la guerra cibernética durante la guerra de Rusia contra Ucrania, incluido el último intento de interrumpir la red eléctrica del país utilizando Industroyer2 y varios ataques de limpiaparabrisas.

Junto al equipo de investigación de ESET, el astronauta canadiense Chris Hadfield, excomandante de la Estación Espacial Internacional y figura clave en la campaña Progress Protected de ESET, se unió al CEO de ESET, Richard Marko, para hablar sobre las complejidades de la tecnología, la ciencia y la vida.