Dacls
Hackerská skupina Lazarus je jednou z nejznámějších APT (Advanced Persistent Threat) na světě. Skupina pochází ze Severní Koreje a je pravděpodobné, že jsou sponzorovány severokorejskou vládou k provádění útoků, které by podpořily jejich zájmy na celém světě. Hackerská skupina Lazarus je zpět ve zprávách s novou hrozbou, která se zaměřuje na servery Linux, zejména na servery Atlassian Confluence. Za tímto účelem hrozba využívá využití CVE-2019-3396 RCE.
Obsah
První hrozba skupiny Lazarus, která cílí na systémy Linux
Tento nový kmen malwaru se nazývá Dacls a jedná se o trojan vzdáleného přístupu (RAT). Je třeba poznamenat, že Dacls RAT je první hrozbou vyvinutou hackerskou skupinou Lazarus, která se zaměřuje na Linuxová zařízení - před touto hrozbou měl APT cílený pouze systém se systémem Windows OS a OSX. Dacls Trojan je však také schopen jít nejen po systémech Linux, ale i po zařízeních Windows. Dacls RAT je navržen tak, aby ovlivňoval specifické verze Atlassian confluence serveru - před variantou 6.612, před variantou 6.7.0 před 6.12.3, před variantou 6.13.10 před 6.13.3 a před variantou 6.14.0 před 6.14 .2 verze.
Verze Dacls RAT Linux a Windows fungují odlišně
Po prostudování Dacls Trojanu vědci v oblasti malwaru rychle zjistili, že tato hrozba patří do hackerské skupiny Lazarus. Bylo to zřejmé, protože se zdá, že Dacls RAT používá stejný server pro stahování jako jiné hrozby, které navrhl Lazarus APT. Dacls Trojan pracuje odlišně v závislosti na tom, zda cílí na Windows nebo Linux. Linuxová verze Dacls RAT obsahuje všechny pluginy zabudované v komponentě, zatímco varianta Windows tohoto trojského koně stahuje pluginy potřebné pro útok ze vzdáleného serveru. Když hrozba komunikuje se serverem C&C (Command & Control) útočníků, použije šifrování RC4 a TLC. Za účelem šifrování konfiguračních souborů by Dacls RAT použil šifrovací algoritmus AES.
Schopnosti
Trojan Dacls je schopen:
- Příjem příkazů C2.
- Provádění příkazů C2.
- Testování připojení k síti.
- Načítání dat ze serveru C&C.
- Skenování sítě na portu 8291.
Hackerská skupina Lazarus není aktérem, kterého lze propustit nebo přehlédnout. Jsou schopni vytvářet velmi silné a vysoce ozbrojené hrozby, které jsou schopné způsobit velké škody na jejich cílech. Je zajímavé a znepokojivé, že skupina Lazarus se rozhodla rozšířit svůj dosah a začít se zaměřovat na systémy Linux.
