APT-C-26（Lazarus）组织伪造电商组件攻击活动分析报告

Anquanke 安全客 (anquanke.com)

attribution sentence(s): APT-C-26  Lazarus2022年上半年，360高级威胁研究院发现了来自Lazarus组织的攻击活动，本次攻击活动伪装为Alibaba相关组件进行攻击，载荷组件与NukeSped家族相关，后续载荷以窃取目标相关文件信息为主，可以推断是针对特定领域或者人群进行的攻击行动，本次攻击行动针对性强、隐蔽性强，目前视野内中招用户涉及韩国软件企业Hancom Secure相关。 | 本次Lazarus行动，关联至NukeSped家族，大多数加载NukeSped的恶意软件都会检查命令行参数，并且只有在给出预期参数时才继续执行恶意程序。这是该恶意软件家族加载程序中的一个常见特性。本次伪造载荷加载由6个参数组成，与之前披露的参数数量是一致的，第二个参数固定为字符串S0RMM-50QQE-F65DN-DCPYN-5QEQA，第三个参数为C&C地址，第四个参数为本地上传路径。 | 总结APT-C-26（Lazarus）组织本次攻击目的明确，攻击手段隐蔽性强，C&C与上传路径均以参数形式传递，并且后续载荷不落地，完全在内存中运行。本次攻击行动第一目标是以收集有价值信息为主，在进行针对性信息收集工作完成后不排除有相关后续行动，需要引起足够重视。