QiAnXin Threat Intelligence Center (RedDrip)
求职陷阱：Lazarus组织以日本瑞穗銀行等招聘信息为诱饵的攻击活动分析 · 2022-12-23T14:04:55.000Z
返回 TI 主页 RESEARCH 数 据 驱 动 安 全 求职陷阱：Lazarus组织以日本瑞穗銀行等招聘信息为诱饵的攻击活动分析 By 红雨滴团队 | 事件追踪 PDF IOC 概述 Lazarus组织是疑似具有东北亚背景的APT组织，奇安信威胁情报中心内部追踪编号为APT-Q-1，因2014年攻击索尼影业开始受到广泛关注，其攻击活动最早可追溯到2007年。该组织早期主要针对其他国家政府机构，以窃取敏感情报为目的，但自2014年后，该组织开始以全球金融机构 、虚拟货币交易场等为目标，进行敛财为目的的攻击活动。据公开情报显示，2014 年索尼影业遭黑客攻击事件，2016 年孟加拉国银行数据泄露事件，2017年美国国防承包商、美国能源部门及英国、韩国等比特币交易所被攻击事件都出自Lazarus之手。2021年，Lazarus还开始了针对安全研究人员的新活动 [1] 。 一直以来，木马样本的免杀率都是各个APT组织高度关注的要点，随着杀毒软件的更新迭代，检出方法不断的完善，恶意样本的检出率也随之提高，攻击者为进一步对抗而使用了各种匪夷所思的绕过方法、千奇百怪的免杀方法。近日，奇安信威胁情报中心红雨滴团队在日常的威胁狩猎中便发现Lazarus组织最新的0杀软查杀攻击样本，样本为VHD（虚拟磁盘映像）文件，以日本瑞穗银行（Mizuho Bank）的招聘信息为诱饵进行攻击。 https://www\.virustotal\.com/gui/file/826f2a2a25f7b7d42f54d18a99f6721f855ba903db7b125d7dea63d0e4e6df64/detection 在发现该攻击活动后，红雨滴团队便第一时间向安全社区进行了预警 [2] ，并引发国内外安全研究员对该类型样本进行深度探索。 https://twitter\.com/RedDrip7/status/1595365451495706624 样本分析 0x01 VHD虚拟磁盘映像文件 在威胁狩猎过程中，我们并未捕获到初始攻击载荷，结合VHD文件，我们猜测初始攻击载荷应该是鱼叉攻击邮件，通过邮件中的附件诱骗受害者点击打开VHD文件。在实际的环境中，Win7系统并不支持直接打开该类文件，因此该样本可能主要针对高版本Windows系统。 通常情况下，Windows操作系统都会隐藏受保护的操作系统文件，Lazarus组织正是利用这一特性：在Win10系统中直接打开VHD文件，仅可见一个名为Job_Description.exe的文件。并且攻击者还对该exe文件进行了伪装： 在文件名中使用大量空格来隐藏.exe后缀；