Lazarus组织针对韩国的恶意文件

 

我们简要地回顾了在过去的一周韩国研究人员讨论和审查过的一些文件。一份恶意软件连接到Lazarus，据报道是朝鲜的攻击组织。这份恶意文件似乎瞄准了近期G20金融峰会的成员，该峰会试图寻求最富裕国家之间经济政策的协调。据报道，另一份恶意文件与最近在韩国的Bithumb加密货币交易中被盗的3000万美元有关。

这篇文章在很大程度上建立在韩国研究人员的工作成果上。最初识别这些文件的功劳归于@issuemakerslab、@_jsoo_等人。

 

恶意文件

我们查看了三份类似的恶意文件：

l  국제금융체제 실무그룹 회의결과.hwp（“国际金融架构工作组会议结果”）– cf09201f02f2edb9c555942a2d6b01d4

l  금융안정 컨퍼런스 개최결과.hwp (“金融稳定会议举行“) –  69ad5bd4b881d6d1fdb7b19939903e0b

l  신재영 전산담당 경력.hwp (“[Name]计算机经验”) – 06cfc6cda57fb5b67ee3eb0400dd5b97

诱饵文件提到G20国际金融架构工作组会议

伪装成简历的诱饵文件

这些是韩文处理器（“HWP”）文件——一个韩国文档编辑器。HWP文件包含恶意的postscript代码，可从以下位置下载32位或64位版本的下一阶段：

l  https://tpddata[.]com/skins/skin-8.thm – eb6275a24d047e3be05c2b4e5f50703d – 32 bit

l  https://tpddata[.]com/skins/skin-6.thm – a6d1424e1c33ac7a95eb5b92b923c511 – 64 bit

恶意软件是Manuscrypt（McAfee等之前曾描述过），并通过冒充韩国论坛软件进行通信：

与这些样本通信：

l  https://www.anlway[.]com/include/arc.search.class.php

l  https://www.apshenyihl[.]com/include/arc.speclist.class.php

l  https://www.ap8898[.]com/include/arc.search.class.php

 

这与最近的Bithumb盗窃案有关吗?

如果你关注加密货币，你可能听说过本月韩国加密货币交易所发生的一些盗窃事件：

来自《卫报》的报道

韩国国内的报道称，Bithumb盗窃事件开始于5月和6月早些时候的恶意HWP文件。他们还提到，它们与拉撒路之前的攻击有关，还涉及伪造的简历。

根据韩国一家新闻机构的报道，来自对两起盗窃事件展开调查的一家韩国安全公司的报告显示，一些非常常见的恶意软件样本被发送给了加密货币机构： 

KBS news报道的屏幕截图

虽然我们不能确定这个恶意软件是否应该对Bithumb盗窃事件负责，但它似乎的确是一个有很大可能性的嫌疑犯。

 

其他活动

这里有一些更早的报道称，本月早些时候，来自Lazarus的恶意HWP文件把韩国的加密货币用户作为了目标。在这种情况下，我们注意到有许多加密货币的钓鱼域，它们被注册到与一个域（itaddnet[.]com）相同的电话号码上，用来交付一些恶意软件。

除了交付恶意软件之外，攻击者可能还在为获取凭证而钓鱼：

韩国加密货币用户谈及来自域名coinoen [.]org的网络钓鱼攻击的论坛讨论

Lazarus注册域名是不寻常的——通常他们更喜欢破坏合法网站。因此，如果这次攻击是由Lazarus的成员发动的，那将是一次不寻常的攻击。

 

历史攻击

如果Bithumb盗窃事件背后的攻击者确实是Lazarus，那么他们很可能受益于先前黑客攻击的知识。早在2017年，他们就被指从Bithumb和其他加密货币交易所盗窃了700万美元： 

从由Ashley Shen、Kyoung-ju Kwak和Min-Chang Jang撰写的“针对金融机构的APT攻击”中选择的一些由不同Lazarus小组发起的攻击活动

这些攻击是针对银行的大量攻击中的一部分，包括攻击ATM网络企图从孟加拉国银行窃取10亿美元。他们也因WannaCry和索尼电影娱乐公司攻击事件而闻名。

很显然，考虑到现有的收益，Lazarus的盗窃行动不会很快停止——从孟加拉国银行窃取10亿美元（部分成功）的企图占朝鲜公布的GDP的3%。针对韩国组织实施盗窃对削弱他们最密切的竞争对手有着双重影响。

就在本月早些时候，有报道称，Lazarus从一家智利银行手中窃取了1000万美元，并在掩盖行踪的过程中摧毁了数千台电脑。

 

妥协指标

文件哈希值

596fbdf01557c3ec89b345c57ae5d9a0b7251dd8d5a707f7353dd733274c6eb6

58a97c2c731cdf045f26ccc7cba370bd2dfee277a9c43c0421c53593e493f7bc

485f77e5d32de5dc05510743025a75af5b6f714e930e22098490b7afb71b737f

e498630abe9a91485ba42698a35c2a0d8e13fe5cccde65479bf3033c45e7d431

4838f85499e3c68415010d4f19e83e2c9e3f2302290138abe79c380754f97324

2813c0ebcacdcf9052f71d51c81e9c52a16b9a69f8981b2c74eab236524ff4b9

2f4a958b148bef4be10780e8128860cdca21ec26537f51cec8960a9e019aa1f0

4838f85499e3c68415010d4f19e83e2c9e3f2302290138abe79c380754f97324

5b1663d5eb565caccca188b6ff8a36291da32f368211e6437db339ce2dc2e9cd

7985af0a87780d27dc52c4f73c38de44e5ad477cb78b2e8e89708168fbc4a882

afba8105793b635d4ed7febdae4b744826ca8b2381c1b85f5e528bb672ed63c2

c10363059c57c52501c01f85e3bb43533ccc639f0ea57f43bae5736a8e7a9bc8

d8af45210bf931bc5b03215ed30fb731e067e91f25eda02a404bd55169e3e3c3

e98991cdd9ddd30adf490673c67a4f8241993f26810da09b52d8748c6160a292

927120588e6c4e5db5b5a1ea9914cd78a0fa0c9fb558726604747de672c6adf3

e76b3fd3e906ac23218b1fbd66fd29c3945ee209a29e9462bbc46b07d1645de2

3cde54dce88a4544bf5ffa36066a184958d4ff74c2e0ce32fdbf91729c0f574e

域

tpddata[.]com

itaddnet[.]com

wifispeedcheck[.]net

潜在的相关网络钓鱼域

coinoen[.]org                          

coinmaketcape[.]com

bitfiniex[.]org

URLs

https://www.apshenyihl[.]com/include/arc.speclist.class.php            

https://www.ap8898[.]com/include/arc.search.class.php                   

https://www.anlway[.]com/include/arc.search.class.php                              

https://tpddata[.]com/skins/skin-8.thm                                   

https://tpddata[.]com/skins/skin-6.thm

http://168wangpi[.]com/include/charset.php

http://ando.co[.]kr/service/s_top.asp

http://ansetech.co[.]kr/smarteditor/common.asp

http://mileage.krb.co[.]kr/common/db_conf.asp

http://www.028xmz[.]com/include/common.php

http://www.33cow[.]com/include/control.php

http://www.51up[.]com/ace/main.asp

http://www.530hr[.]com/data/common.php

http://www.97nb[.]net/include/arc.sglistview.php

http://www.anlway[.]com/include/arc.search.class.php

http://www.ap8898[.]com/include/arc.search.class.php

http://www.apshenyihl[.]com/include/arc.speclist.class.php

http://www.marmarademo[.]com/include/extend.php

http://www.paulkaren[.]com/synthpop/main.asp

http://www.shieldonline.co[.]za/sitemap.asp

网络检测

ETPRO TROJAN Win32/Agent.WTE HTTP CnC Beacon

ETPRO TROJAN Win32/Agent.WTE/Manuscrypt HTTP CnC Beacon

审核人：yiwang   编辑：少爷