Le groupe Lazarus, le groupe de menaces persistantes avancées (APT) attribué au gouvernement nord-coréen, a été observé en train de mener deux campagnes d’attaques distinctes sur la chaîne d’approvisionnement afin de prendre pied dans les réseaux d’entreprise et de cibler un large éventail d’entités en aval.
La dernière opération de collecte de renseignements impliquait l’utilisation du cadre de logiciels malveillants MATA ainsi que des portes dérobées surnommées BLINDINGCAN et HAIE DE CUIVRE pour attaquer l’industrie de la défense, un fournisseur de solutions de surveillance des actifs informatiques basé en Lettonie et un groupe de réflexion situé en Corée du Sud, selon un nouveau Rapport T3 2021 sur les tendances de l’APT publié par Kaspersky.
Dans un cas, l’attaque de la chaîne d’approvisionnement provenait d’une chaîne d’infection provenant d’un logiciel de sécurité sud-coréen légitime exécutant une charge utile malveillante, conduisant au déploiement des logiciels malveillants BLINDINGCAN et COPPERHEDGE sur le réseau du groupe de réflexion en juin 2021. L’autre attaque contre la société lettone en mai est une « victime atypique » pour Lazare, selon les chercheurs.
Il n’est pas clair si Lazarus a falsifié le logiciel du fournisseur informatique pour distribuer les implants ou si le groupe a abusé de l’accès au réseau de l’entreprise pour violer d’autres clients. La société russe de cybersécurité suit la campagne sous le cluster DeathNote.
Ce n’est pas tout. Dans ce qui semble être une campagne de cyber-espionnage différente, l’adversaire a également été repéré en train d’exploiter le cadre de logiciels malveillants multiplateforme MATA pour effectuer un éventail d’activités malveillantes sur des machines infectées. « L’acteur a livré une version cheval de Troie d’une application connue pour être utilisée par la victime de son choix, représentant une caractéristique connue de Lazare », ont noté les chercheurs.
Selon les découvertes précédentes de Kaspersky, la campagne MATA est capable de frapper les systèmes d’exploitation Windows, Linux et macOS, l’infrastructure d’attaque permettant à l’adversaire d’effectuer une chaîne d’infection à plusieurs étapes qui aboutit au chargement de plugins supplémentaires, qui permettent accéder à une multitude d’informations, y compris les fichiers stockés sur l’appareil, extraire des informations de base de données sensibles et injecter des DLL arbitraires.
Au-delà de Lazarus, un acteur menaçant APT parlant chinois, soupçonné d’être HoneyMyte, a été trouvé en train d’adopter la même tactique, dans laquelle un package d’installation de logiciel de scanner d’empreintes digitales a été modifié pour installer la porte dérobée PlugX sur un serveur de distribution appartenant à une agence gouvernementale dans un pays sans nom. en Asie du Sud. Kaspersky a qualifié l’incident de la chaîne d’approvisionnement de « SmudgeX ».
Ce développement intervient alors que les cyberattaques visant la chaîne d’approvisionnement informatique sont devenues une préoccupation majeure à la suite de l’intrusion de SolarWinds en 2020, soulignant la nécessité d’adopter des pratiques strictes de sécurité des comptes et de prendre des mesures préventives pour protéger les environnements d’entreprise.
