I ricercatori del Global Research and Analysis Team (GReAT) di Kaspersky Lab hanno scoperto AppleJeus, una nuova operazione malevola del famigerato gruppo hacker Lazarus. Gli aggressori si sono infiltrati in un network di cambio di criptovaluta in Asia utilizzando software di commercio di criptovalute Trojanized. L’obiettivo dell’attacco era rubare criptovaluta dalle loro vittime. Oltre al malware basato su Windows, i ricercatori sono stati in grado di identificare una versione precedentemente sconosciuta che prende di mir
a le piattaforme macOS.
Questo è il primo caso in cui i ricercatori di Kaspersky Lab hanno osservato il famigerato gruppo Lazarus distribuire malware destinato ad utenti macOS e questo rappresenta un campanello d’allarme per tutti coloro che utilizzano questo sistema operativo per attività correlate alle criptovalute.
Sulla base delle analisi condotte dal GReAT, l’infiltrazione nell’infrastruttura della borsa è iniziata quando un dipendente ignaro della società ha scaricato un’applicazione di terze parti dal sito web legittimo di un’azienda che sviluppa software per il trading di criptovaluta.
Il codice dell’applicazione non è sospetto, ad eccezione di un componente: un aggiornamento. Nel software legittimo tali componenti vengono utilizzati per scaricare nuove versioni dei programmi. Nel caso di AppleJeus, si comporta come un modulo di ricognizione: prima raccoglie le informazioni di base sul computer su cui è stato installato e successivamente invia queste informazioni al server di comando e controllo e 
se gli aggressori decidono che il computer merita d’esser attaccato, il codice dannoso ritorna sotto forma di un aggiornamento software. L’aggiornamento dannoso installa un trojan noto come Fallchill, un vecchio tool che il gruppo Lazarus è tornato recentemente ad usare. Questo fatto ha fornito ai ricercatori una base per l’attribuzione. Al momento dell’installazione, il Trojan Fallchill fornisce agli aggressori un accesso quasi illimitato al computer attaccato, consentendo loro di rubare preziose informazioni finanziarie o di distribuire tool aggiuntivi a tale scopo.
La situazione è stata aggravata dal fatto che i criminali hanno sviluppato software sia per la piattaforma Windows che per la piattaforma macOS. Quest’ultima è generalmente molto meno esposta alle minacce informatiche rispetto a Windows. Le funzionalità delle due versioni della piattaforma del malware sono esattamente le stesse.
Un’altra cosa insolita dell’operazione AppleJeus è che mentre sembra un attacco supply-chain, in realtà, poi si mostra non esserlo. Il fornitore del software di trading di criptovaluta utilizzato per inviare il payload dannoso ai computer delle vittime dispone di un certificato digitale valido per la firma del suo software e record di registrazione che sembrano legittimi per il dominio. Tuttavia, almeno sulla base di informazioni pubblicamente disponibili, i ricercatori di Kaspersky Lab non sono stati in grado di identificare alcuna organizzazione legittima con sede all’indirizzo utilizzato nelle informazioni del certificato.
“All’inizio del 2017, abbiamo notato un crescente interesse del gruppo Lazarus per i mercati delle criptovalute, quando il software di mining Monero è stato installato su uno dei loro server da un operatore Lazarus. Da allora, sono stati individuati più volte prendere di mira i cambi di criptovaluta e tradizionali organizzazioni finanziarie. Il fatto che abbiano sviluppato malware per infettare gli utenti di macOS in aggiunta agli utenti di Windows e, molto probabilmente, persino creato una società di software e un prodotto software completamente falsi per essere in grado di fornire questo malware che non viene rilevato dalle soluzioni di sicurezza, significa che vedono profitti potenzialmente grandi nell’intera operazione e dovremmo aspettarci sicuramente più casi simili nel prossimo futuro. Per gli utenti macOS, questo caso è un campanello d’allarme, soprattutto se utilizzano i propri Mac per eseguire operazioni con criptovalute“, osserva Vitaly Kamluk, Head of GReAT APAC team di Kaspersky Lab.
Il gruppo Lazarus, noto per le sue sofisticate operazioni e collegamenti con la Corea del Nord, è noto non solo per i suoi attacchi di cyberspionaggio e cyber sabotaggio, ma anche per gli attacchi verso obiettivi finanziari. Diversi ricercatori, tra cui quelli di Kaspersky Lab, hanno riportato in passato notizie su questo gruppo relative a obiettivi come banche e altre grandi imprese finanziarie.
Per proteggersi e proteggere la propria azienda da sofisticati attacchi informatici da parte di gruppi come Lazarus, gli esperti di sicurezza di Kaspersky Lab consigliano alcuni accorgimenti:
- Non fidarsi automaticamente del codice in esecuzione sui propri sistemi. Né un sito web dall’aspetto autentico, né un solido profilo aziendale, né certificati digitali garantiscono l’assenza di backdoor.
- Utilizzare soluzioni di sicurezza solide, dotate di tecnologie di rilevamento del comportamento malevolo che consentano di bloccare anche minacce precedentemente sconosciute.
- Iscrivere il team di sicurezza della propria organizzazione ad un servizio di qualità di reporting di intelligence delle minacce per ottenere un accesso tempestivo alle informazioni sugli sviluppi più recenti delle tattiche, tecniche e procedure di sofisticati autori di minacce.
- Usare l’autenticazione multi-fattore e portafogli hardware se si ha a che fare con transazioni finanziarie significative. A tale scopo, utilizzare preferibilmente un computer standalone isolato che non si utilizza per navigare in Internet o leggere la posta elettronica.
Per ulteriori approfondimenti è disponibile la versione completa del rapporto su Securelist.
Fonte
Questar
Inoltre, ogni volta che i cybercriminali avevano bisogno di altri dati o funzionalità aggiuntive, come ottenere privilegi da amministratore locale o rubare dati di autenticazione di un utente o account Windows per diffondersi all’interno della rete aziendale, gli attaccanti caricavano set aggiuntivi di malware, preparati in modo individuale per colpire ciascuna vittima. Questo processo poteva includere degli spyware, strumenti aggiuntivi di amministrazione da remoto che estendono le possibilità di controllo da parte dei cybercriminali sui sistemi infetti, e malware, per sfruttare le vulnerabilità nel sistema operativo, fino ad uno strumento come Mimikatz che consente agli utenti di ottenere dati dagli account Windows.
