人设倒了扶起来：Lazarus 组织利用含木马的IDA Pro 攻击研究员

最新推荐文章于 2024-07-20 20:10:04 发布

奇安信代码卫士

最新推荐文章于 2024-07-20 20:10:04 发布

阅读量528

点赞数

文章标签：安全 java 信息安全微软 docker

原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247509081&idx=2&sn=9889f9181752e980515c8c7c2a854be5&chksm=ea949533dde31c258def41ae84b713ba6ac32ec1c43bcd70b5c464ab03a628aa20e3cb46c1e2&scene=126&&sessionid=0

版权

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

被指为朝鲜国家黑客组织的 Lazarus 再次试图攻击安全研究员，这次使用的是含有木马的盗版热门逆向工程应用 IDA Pro。

IDA Pro 是一款可将可执行文件转换为汇编语言的应用，允许安全研究员和程序员分析程序如何运行并发现其中的潜在bug。安全研究员通常使用 IDA来分析合法软件中的漏洞和恶意软件并判断所执行的恶意行为。

然而，由于 IDA Pro 应用价格昂贵，因此某些安全研究员不会购买而是选择下载盗版的破解版。和其它盗版软件一样，IDA Pro 盗版破解版存在被篡改进而包含恶意可执行文件的风险，而这正是 ESET 公司的安全研究员 Anton Cherepanov 在 IDA Pro 盗版应用中所发现的，该盗版被指由朝鲜国家黑客组织 Lazarus 分发。

木马版 IDA Pro 攻击安全研究员

ESET 公司发布了 Cherepanov 发现的 IDA Pro 7.5 的恶意版本，该版本旨在攻击安全研究员。该版本遭修改，包含了两个恶意 DLL 即 idahelp.dll 和 win_fw.dll，当程序安装后，这两个恶意 DLL 就会被执行。

Win_fw.dll 文件将在 Windows Task Scheduler 中创建一个新任务，启动idahelper.dll 程序。

Idahelper.dll 之后连接至 devguardmap[.]org 站点并下载远程访问木马 NukeSped。被安装的远程访问木马可使威胁行动者获得访问安全研究员设备的权限，从而窃取文件、获取截屏、日志键击或执行更多的命令。ESET 公司指出，“从域名和含木马的应用程序来看，我们认为该恶意软件是已知的 Lazarus 组织所为，此前谷歌威胁分析团队和微软均报道过。”

Cherepanov 表示，虽然不知道该版本是如何分发的，它最近才被发现，似乎早在2020年第一季度就已经开始分发。

Lazarus 组织长期攻击安全研究员

Lazarus 黑客组织又被微软称为 “Zinc”，它一贯通过后门和远程访问木马攻击安全研究员。

1月，谷歌发现 Lazarus 组织通过社工创建虚假人设，伪装成漏洞研究员，然后联系其他安全研究员讨论关于漏洞研究协作的事宜。和研究员建立联系后，Lazarus 黑客向研究员发送所谓的和“漏洞”相关的 Visual Studio 项目，其中包含一个恶意的隐藏DLL “vcxproj.suo”。当研究员试图构建该项目时，预构建事件会执行DLL，而它将被当作自定义后门安装在研究员设备上。