I ricercatori del Global Research and Analysis Team (GReAT) di Kaspersky Lab hanno scoperto AppleJeus, una nuova operazione malevola del famigerato gruppo di cracker Lazarus. Gli aggressori si sono infiltrati in un network di cambio di criptovaluta in Asia utilizzando software di commercio di criptovalute Trojanized.
L’obiettivo dell’attacco è quello di rubare criptovaluta dalle vittime. Oltre al malware basato su Windows, i ricercatori hanno identificato una versione precedentemente sconosciuta che prende di mira le piattaforme macOS. È il primo caso in cui i ricercatori di Kaspersky Lab hanno osservato il famigerato gruppo Lazarus distribuire malware destinato agli utenti macOS: questo rappresenta un campanello di allarme per tutti coloro che utilizzano questo sistema operativo per attività correlate alle criptovalute.
Sulla base delle analisi condotte dal GReAT, l’infiltrazione nell’infrastruttura della borsa è iniziata quando un dipendente ignaro della società ha scaricato una applicazione di terze parti dal sito web legittimo di un’azienda che sviluppa software per il trading di criptovaluta. Il codice dell’applicazione non è sospetto, ad eccezione di un componente: un aggiornamento.
Nel software legittimo tali componenti vengono utilizzati per scaricare nuove versioni dei programmi. AppleJeus si comporta come un modulo di ricognizione: prima raccoglie le informazioni di base sul computer su cui è stato installato e successivamente invia queste informazioni al server di comando e controllo.
Se gli aggressori decidono che il computer merita di esser attaccato, il codice dannoso ritorna sotto forma di un aggiornamento software. L’aggiornamento dannoso installa un trojan noto come Fallchill, un vecchio tool che il gruppo Lazarus è tornato recentemente ad usare. Questo fatto ha fornito ai ricercatori una base per l’attribuzione. Al momento dell’installazione, il Trojan Fallchill fornisce agli aggressori un accesso quasi illimitato al computer attaccato, consentendo loro di rubare preziose informazioni finanziarie o di distribuire tool aggiuntivi a tale scopo.
La situazione è stata aggravata dal fatto che i criminali hanno sviluppato software sia per la piattaforma Windows che per la piattaforma macOS. Quest’ultima è generalmente molto meno esposta alle minacce informatiche rispetto a Windows. Le funzionalità delle due versioni della piattaforma del malware sono esattamente le stesse.
Un’altra cosa insolita dell’operazione AppleJeus è che mentre sembra un attacco supply-chain, in realtà, poi si mostra non esserlo. Il fornitore del software di trading di criptovaluta utilizzato per inviare il payload dannoso ai computer delle vittime dispone di un certificato digitale valido per la firma del suo software e record di registrazione che sembrano legittimi per il dominio. Tuttavia, almeno sulla base di informazioni pubblicamente disponibili, i ricercatori di Kaspersky Lab non sono stati in grado di identificare alcuna organizzazione legittima con sede all’indirizzo utilizzato nelle informazioni del certificato.
«All’inizio del 2017 abbiamo notato un crescente interesse del gruppo Lazarus per i mercati delle criptovalute, quando il software di mining Monero è stato installato su uno dei loro server da un operatore Lazarus» dichiara Vitaly Kamluk, Head of GReAT APAC team di Kaspersky Lab.
«Da allora, sono stati individuati più volte prendere di mira i cambi di criptovaluta e tradizionali organizzazioni finanziarie. Il fatto che abbiano sviluppato malware per infettare gli utenti di macOS in aggiunta agli utenti di Windows e, molto probabilmente, persino creato una società di software e un prodotto software completamente falsi per essere in grado di fornire questo malware che non viene rilevato dalle soluzioni di sicurezza, significa che vedono profitti potenzialmente grandi nell’intera operazione e dovremmo aspettarci sicuramente più casi simili nel prossimo futuro. Per gli utenti macOS, questo caso è un campanello d’allarme, soprattutto se utilizzano i propri Mac per eseguire operazioni con criptovalute».
Il gruppo Lazarus, autore di sofisticate operazioni e collegamenti con la Corea del Nord, è noto non solo per i suoi attacchi di cyberspionaggio e cyber sabotaggio, ma anche per gli attacchi verso obiettivi finanziari. Diversi ricercatori, tra cui quelli di Kaspersky Lab, hanno riportato in passato notizie su questo gruppo relative a obiettivi come banche e altre grandi imprese finanziarie.
Per proteggersi e proteggere la propria azienda da sofisticati attacchi informatici da parte di gruppi come Lazarus, gli esperti di sicurezza di Kaspersky Lab consigliano alcuni accorgimenti:
• Non fidarsi automaticamente del codice in esecuzione sui propri sistemi. Né un sito web dall’aspetto autentico, né un solido profilo aziendale, né certificati digitali garantiscono l’assenza di backdoor.
• Utilizzare soluzioni di sicurezza solide, dotate di tecnologie di rilevamento del comportamento malevolo che consentano di bloccare anche minacce precedentemente sconosciute.
• Iscrivere il team di sicurezza della propria organizzazione ad un servizio di qualità di reporting di intelligence delle minacce per ottenere un accesso tempestivo alle informazioni sugli sviluppi più recenti delle tattiche, tecniche e procedure di sofisticati autori di minacce.
• Usare l’autenticazione multi-fattore e portafogli hardware se si ha a che fare con transazioni finanziarie significative. A tale scopo, utilizzare preferibilmente un computer standalone isolato che non si utilizza per navigare in Internet o leggere la posta elettronica.
