Уязвимые сервера Microsoft IIS стали инструментом шпионажа хакеров Lazarus Group
В ходе атак использовался устаревший плагин Notepad++ для доставки вредоносного ПО.
Центр реагирования на чрезвычайные ситуации AhnLab Security (ASEC) сообщает, что северокорейская хакерская группировка Lazarus Group нацелена на уязвимые версии серверов Microsoft Internet Information Services (IIS) для развертывания вредоносного ПО в целевых системах.
По данным AhnLab Securit, группа использует метод боковой загрузки DLL (DLL Sideloading) для запуска произвольных полезных нагрузок. Хакеры помещают вредоносную DLL (msvcr100.dll) в тот же путь к папке, что и обычное приложение (Wordconv.exe) через процесс веб-сервера Windows IIS, w3wp.exe. Затем злоумышленники запускают обычное приложение, чтобы инициировать выполнение вредоносной DLL.
Вредоносная библиотека «msvcr100.dll» предназначена для расшифровки закодированных полезных данных, которые затем выполняются в памяти. Утверждается, что вредоносное ПО представляет собой вариант, который был обнаружен ASEC в прошлом году и действовал как бэкдор для связи с C2-сервером.
Цепочка атак также повлекла за собой использование плагина Notepad++ с открытым исходным кодом под названием Quick Color Picker, поддержка которого уже прекращена, для доставки дополнительных вредоносных программ, чтобы облегчить кражу учетных данных и боковое перемещение.
Последняя разработка демонстрирует разнообразие атак Lazarus и способность группы использовать обширный набор инструментов для проведения долгосрочных шпионских операций.