Malware nie ginie, Lazarus czuwa

2009 rok. Wtedy, według „czynników rządowych” w USA miała się rozpocząć aktywność północnokoreańskich hakerów, których celem było uzyskanie dostępu do szeregu systemów w mniejszy lub większy sposób związanych z waszyngtońską administracją. Niekoniecznie po to, by siać zamęt – choć w opinii niektórych to właśnie kojarzona z Pyongyangiem grupa Lazarus ma stać m.in. za niedawną epidemią ransomware WannaCry, przypisywany jest jej także atak na naszą Komisję Nadzoru Finansowego. Spektakularne ataki to tylko ułamek ich „osiągnięć” – najistotniejsze z punktu widzenia tego, co po angielsku nazywa się ładnie „nation sponsored cybercrime” jest znalezienie sobie wejścia do systemu i siedzenia tam tak cicho, żeby przypadkiem nikt nas nie zauważył…

I wygląda na to, że Koreańczykom (przy założeniu, że grupa Lazarus to faktycznie podwładni Kim Jong-Una) całkiem nieźle się to udawało, przynajmniej w ostatnim czasie. Według najświeższego alertu wydanego wspólnie przez US-CERT i FBI wykryli oni aktywności kojarzonej z Lazarusem grupy znanej jako Hidden Cobra w wielu potencjalnie krytycznych lokalizacjach w sieci, związanych m.in. z przemysłem kosmicznym, telekomunikacyjnym i finansowym. Używane przez nich złośliwe oprogramowanie Fallchill to rozbudowany RAT (Remote Access Trojan, koń trojański pozwalający na zdalny dostęp do zainfekowanego urządzenia). W opinii autorów alertu fakt, iż Fallchill trafił na urządzenia w niemal 100 firmach/agendach rządowych dowodzi wcześniejszej infekcji innym, nieodkrytym uprzednio malwarem, wykorzystanym po okresie uśpienia w roli „droppera” kolejnego złośliwego kodu.

Dlaczego ma to być nasz problem? Choćby dlatego, że sieć nie zna granic. Udowodnił to przypadek Petya/NotPetya, gdzie „odłamkami” oberwała spora część Europy i nie tylko, ale także określany pierwszą cyber-bronią Stuxnet, który – choć zaatakował jedynie wzbogacające uran wirówki w irańskim Natanz – został wykryty na komputerach w wielu częściach świata. Poza tym Lazarus/Hidden Cobra to tylko jednak z wielu grup korzystających na naiwności internautów, a wiara w to, że nas/naszej firmy nie warto przecież atakować, ociera się o dużą naiwność. Dlatego niezależnie od tego, czy boimy się Koreańczyków, nieprzerwanie warto pamiętać o:

• nieklikaniu w linki w mailach od obcych, nieotwieraniu niezamówionych załączników
• nie uruchamianiu makr w plikach Office jeśli nie mamy absolutnej pewności, że są ich niezbędnym elementem
• uaktualnianiu systemu operacyjnego i używanych aplikacji
• korzystaniu z oprogramowania skanującego ściągnięte z internetu pliki przed ich uruchomieniem
• nieprzydzielaniu użytkownikom naszej sieci automatycznie dostępu do wszystkiego