{"id":6533,"date":"2023-04-17T08:14:20","date_gmt":"2023-04-17T06:14:20","guid":{"rendered":"https:\/\/www.bitmat.it\/specialesicurezza\/?p=6533"},"modified":"2023-04-16T13:24:14","modified_gmt":"2023-04-16T11:24:14","slug":"il-cluster-deathnote-evolve","status":"publish","type":"post","link":"https:\/\/www.bitmat.it\/specialesicurezza\/news\/6533\/il-cluster-deathnote-evolve","title":{"rendered":"Il cluster DeathNote evolve"},"content":{"rendered":"

Il cluster DeathNote di Lazarus si evolve. Lo ha reso noto Kaspersky<\/a>, che ha recentemente indagato su DeathNote, uno dei cluster che appartengono al noto gruppo Lazarus. DeathNote si \u00e8 profondamente trasformato nel corso degli anni, iniziando nel 2019 con attacchi a societ\u00e0 operanti nel settore delle criptovalute<\/a> in tutto il mondo. Alla fine del 2022, era responsabile di campagne mirate che hanno colpito aziende IT e societ\u00e0 di difesa in Europa, America Latina, Corea del Sud e Africa. L\u2019ultimo report di Kaspersky traccia un cambiamento negli obiettivi di DeathNote, nonch\u00e9 lo sviluppo e il perfezionamento di strumenti, tecniche e procedure negli ultimi quattro anni.<\/p>\n

Ecco come il cluster DeathNote di Lazarus si evolve<\/h2>\n

Il noto attore delle minacce, Lazarus, ha preso di mira le societ\u00e0 che operano nell\u2019ambito delle criptovalute per molto tempo. Monitorandone le attivit\u00e0, Kaspersky ha notato che in un caso ha utilizzato un malware modificato. A met\u00e0 ottobre 2019, gli esperti si sono infatti imbattuti in un documento sospetto caricato su VirusTotal, in cui l\u2019autore del malware ha utilizzato documenti esca che erano legati al business delle criptovalute, tra cui un questionario sull\u2019acquisto di criptovalute specifiche, un\u2019introduzione a una particolare criptovaluta e a una societ\u00e0 di mining di bitcoin. Questa \u00e8 stata la prima volta che la campagna DeathNote \u00e8 entrata in gioco, prendendo di mira individui e aziende coinvolte nelle criptovalute a Cipro, negli Stati Uniti, a Taiwan e a Hong Kong.<\/p>\n

\"Il<\/a>Tuttavia, nell\u2019aprile 2020 Kaspersky ha notato un cambiamento significativo nei vettori di infezione di DeathNote. La ricerca ha rivelato che questo cluster \u00e8 stato sfruttato per colpire le associazioni dei settori automobilistico e accademico dell\u2019Europa orientale legate all\u2019industria della difesa. In questo periodo, l\u2019attore ha cambiato tutti i documenti esca relativi alle descrizioni delle mansioni degli appaltatori del settore della difesa e di quelli relativi alla sfera diplomatica. Inoltre, ha perfezionato la sua catena di infezione, utilizzando la tecnica di iniezione di modelli remoti nei documenti incriminati, e ha utilizzato un software di visualizzazione PDF open-source di tipo trojan. Entrambi questi metodi di infezione portano allo stesso malware (DeathNote downloader), responsabile del trasferimento delle informazioni della vittima.<\/p>\n

A maggio 2021, Kaspersky ha osservato che un\u2019azienda IT europea, che fornisce soluzioni per il monitoraggio di dispositivi di rete e server, \u00e8 stata compromessa dal cluster DeathNote. Inoltre, all\u2019inizio di giugno 2021, questo sottogruppo di Lazarus ha cominciato a utilizzare un nuovo meccanismo per infettare obiettivi in Corea del Sud. Ci\u00f2 che ha attirato l\u2019attenzione dei ricercatori \u00e8 che la fase iniziale del malware \u00e8 stata eseguita da un software legittimo, ampiamente utilizzato per la sicurezza in Corea del Sud.<\/p>\n

Monitorando DeathNote nel corso del 2022, i ricercatori di Kaspersky hanno scoperto che il cluster \u00e8 stato responsabile degli attacchi a un fornitore di servizi per la difesa in America Latina. Il vettore di infezione iniziale era simile a quello gi\u00e0 visto per altri obiettivi dello stesso settore e prevedeva l\u2019uso di un lettore PDF di titpo trojan con un file PDF modificato. Tuttavia, in questo caso particolare, l\u2019attore ha adottato una tecnica di side-loading per eseguire il payload finale.<\/p>\n

Nella campagna in corso, scoperta per la prima volta nel luglio 2022, \u00e8 stato rivelato che il gruppo Lazarus ha violato con successo un appaltatore della difesa in Africa. L\u2019infezione iniziale era costituita da un\u2019applicazione PDF sospetta, inviata tramite Skype Messenger. Una volta eseguito, il lettore PDF ha creato un file legittimo (CameraSettingsUIHost.exe) e un file dannoso (DUI70.dll) nella stessa directory.<\/p>\n

\"Il<\/a>\u201c<\/em>Il gruppo Lazarus \u00e8 un noto attore di minacce e altamente qualificato. La nostra analisi del cluster DeathNote rivela una rapida evoluzione delle sue tattiche, tecniche e procedure nel corso degli anni. In questa campagna, Lazarus non si limita alle attivit\u00e0 legate alla crittografia, ma \u00e8 andato ben oltre. Utilizza sia un software legittimo che file dannosi per compromettere le societ\u00e0 operanti nel settore della difesa. Poich\u00e9 il gruppo Lazarus continua a perfezionare i suoi approcci, \u00e8 fondamentale che le organizzazioni prestino attenzione e adottino misure proattive per difendersi\u201d,<\/em> ha commentato Seongsu Park<\/strong><\/a>, Lead Security Researcher, GReAT di Kaspersky.<\/p>\n

Per proteggersi da questo tipo di attacchi da parte di attori noti o sconosciuti, i ricercatori di Kaspersky consigliano di<\/strong>:<\/p>\n