Kötü şöhretli Kuzey Koreli tehdit aktörü Lazarus Group'un popüler açık kaynaklı yazılımları kullanarak hedef odaklı kimlik avı saldırıları yaptığı ve son derece sofistike bir operasyonla meşgul olduğu gözlemlendi.
Sonuç olarak, medya, savunma ve havacılık sektörlerinin yanı sıra BT hizmetleri sektörlerindeki “sayısız” organizasyonu tehlikeye atmayı başardılar, Microsoft bu saldırılar hakkında bir rapor bile yayınladı.
Şirket, Lazarus'un (diğer adıyla ZINC), diğer açık kaynaklı uygulamaların yanı sıra casus yazılım yükleyen kötü amaçlı kodlarla PuTTY'yi tehlikeye attığını iddia ediyor. PuTTY, ücretsiz ve açık kaynaklı bir terminal emülatörü, seri konsol ve ağ dosya aktarım uygulamasıdır.
Ancak yalnızca açık kaynaklı yazılımın enfekte olması, hedef kuruluşun uç noktalarına girişi garanti etmiyor - insanların yine de yazılımı indirmesi ve çalıştırması gerekiyor. İşte tam bu noktada hedef odaklı kimlik avı devreye giriyor. Tehdit aktörleri, LinkedIn'de yüksek düzeyde hedeflenmiş bir sosyal mühendislik saldırısı gerçekleştirerek, hedef şirketlerde çalışan belirli kişilerin uygulamayı indirmesini ve çalıştırmasını sağlıyor. Görünüşe göre, grup üyeleri LinkedIn'deki işe alım görevlilerinin kimliklerini üstleniyor ve insanlara kazançlı iş fırsatları sunuyor.
Uygulama, tespit edilmekten kaçınmak için özel olarak tasarlanmış. Yalnızca uygulama belirli bir IP adresine bağlandığında ve özel bir oturum açma kimlik bilgileri seti kullanarak oturum açıldığında, ZetaNile casusluk kötü amaçlı yazılımını başlatıyor.
PuTTY'nin yanı sıra Lazarus, KiTTY, TightVNC, Sumatra PDF Reader ve muPDF/Subliminal Recording uygulamalarınıda enfekte etmeyi başardı.
Microsoft Güvenlik Tehdit İstihbaratı ve LinkedIn Tehdit Önleme ve Savunma ekiplerinin üyeleri bir gönderide, "Aktörler, Haziran 2022'den bu yana çok sayıda kuruluşu başarıyla tehlikeye attı" dedi. "ZINC'in bu kampanyada kullandığı platformların ve yazılımların geniş kullanımı nedeniyle, ZINC, birden fazla sektör ve bölgede bireyler ve kuruluşlar için önemli bir tehdit oluşturabilir."
Lazarus, sahte iş teklifi saldırılarına yabancı değil. Ne de olsa grup, Crypto.com veya Coinbase gibi şirketler için işe alım görevlisi gibi davranarak kripto geliştiricileri için aynı şeyi daha öncede yapmıştı.
Kaynak: techradar
Kuzey Koreli bilgisayar korsanları tarafından ele geçirilen açık kaynaklı yazılımlar tehlike saçmaya devam ediyor.