Kaspersky ha scoperto e segnalato che il gruppo APT Lazarus utilizza la backdoor DTrack per una serie di attacchi a scopo di lucro anche in Europa e in Italia. Infatti sta espandendo il raggio d’azione dei suoi attacchi prendendo di mira anche il Vecchio Continente. Lazarus è attivo almeno dal 2009 ed è accusato di attacchi di cyber spionaggio, cyber sabotaggio e ransomware. Inizialmente, il gruppo si è concentrato sull’attuazione di quella che sembrava essere un’agenda geopolitica, prendendo di mira soprattutto la Corea del Sud. Tuttavia, da qualche tempo si è spostato su obiettivi globali e ha iniziato a eseguire attacchi anche a scopo di lucro.
Come si nasconde la backdoor DTrack
Attualmente gli attacchi sono diretti anche ad aziende europee. In questo contesto, gli esperti di Kaspersky hanno identificato due attacchi in Italia in cui DTrack è stato utilizzato come backdoor. Uno degli attacchi è avvenuto nei confronti di un’azienda del settore dei fornitori di servizi IT. Altri obiettivi in Europa includono aziende in Germania e in Svizzera. La backdoor DTrack è stata scoperta nel 2019 e non è cambiata significativamente nel tempo. DTrack si nasconde in un eseguibile che sembra un programma legittimo, e ci sono diverse fasi di decifrazione prima che il payload del malware si attivi. La novità è un terzo livello di crittografia aggiunto in alcuni nuovi campioni di malware.
Kaspersky: Lazarus colpisce anche in Europa
L’analisi di Kaspersky mostra che Lazarus utilizza la backdoor per una serie di attacchi a scopo di lucro. Permette ai criminali informatici di caricare, scaricare, lanciare o eliminare file sull’host della vittima. Uno dei file scaricati ed eseguiti già scoperti come parte del set di strumenti comuni di DTrack è un keylogger, oltre a un creatore di screenshot e a un modulo per raccogliere le informazioni sul sistema della vittima.
Nel complesso questo set di strumenti può aiutare i criminali IT a effettuare movimenti laterali nell’infrastruttura della vittima, ad esempio per recuperare informazioni. Secondo la telemetria di Kaspersky Security Network, DTrack è attivo in Germania, Brasile, India, Italia, Messico, Svizzera, Arabia Saudita, Turchia e negli Stati Uniti. Lazarus sta quindi ampliando la tipologia delle vittime.
Gliattacchi si sono estesi
Jornt van der Wiel, Security Expert del Global Research & Analysis Team (GReAT) di Kaspersky DTrack continua a essere utilizzato attivamente da Lazarus. Le modifiche apportate al modo in cui il malware viene configurato dimostrano che Lazarus attribuisce ancora un valore elevato a DTrack. Nonostante questo, non è cambiato molto dal 2019, quando è stato scoperto per la prima volta. Tuttavia, l’analisi della tipologia delle vittime mostra che le operazioni si sono estese all’Europa, una tendenza che vediamo sempre più spesso.
Lazarus colpisce anche in Europa
Per proteggersi da malware come DTrack, Kaspersky consiglia di:
utilizzare un software di monitoraggio del traffico come Kaspersky Anti Targeted Attack Platform .
Utilizzare una soluzione di sicurezza completa con tecnologie di rilevamento basate sul comportamento, come Kaspersky Endpoint Detection and Response. Si tratta di una soluzione per rilevare e bloccaretempestivamente gli attacchi.
Effettuare regolari controlli di sicurezza dell’infrastruttura IT aziendale.
Sensibilizzare i dipendenti su come affrontare le minacce con corsi di formazione sulla sicurezza come Kaspersky Security Awareness.
