APT37 streikai: naujos Rust užpakalinės durys kelia pavojų Pietų Korėjos vartotojams!

APT37 streikai: naujos Rust užpakalinės durys kelia pavojų Pietų Korėjos vartotojams!

Nauja atakų banga kelia jaudulį dinamiškame kibernetinio saugumo pasaulyje: Šiaurės Korėjos APT grupė APT37, dar žinoma kaip LScarCruft, Ruby Sleet arba Velvet Chollima, gerokai išplėtė kenkėjiškų programų arsenalą. Ypač akį traukia naujos „Rust“ programavimo kalbos pagrindu sukurtos užpakalinės durys „Rustonotto“, kuri specialiai atakuoja „Windows“ sistemas. Security Insider paskelbė šią informaciją.

APT37 atakų modeliai pirmiausia buvo užfiksuoti Pietų Korėjoje. Šios atakos kaip įėjimo taškas naudoja kenkėjiškas „Windows“ nuorodas arba „Compiled HTML Help“ (CHM) failus. Visa veikla vykdoma per vieną komandų ir valdymo serverį, todėl užpuolikai kontroliuoja įsiskverbusias sistemas. Grėsmių analizė iš „Zscaler's ThreatLabz“ aiškiai rodo, kad „Rustonotto“ veikia nuo 2025 m. birželio mėn. ir yra pirmoji žinoma „Rust“ pagrindu veikianti šios grupės kenkėjiška programa.

Išskirtinė prieiga ir sudėtingos technologijos

Panašu, kad atakos nėra nukreiptos prieš įmones ar vyriausybinius subjektus, o prieš asmenis, turinčius ryšių su Šiaurės Korėjos režimu arba jautriais politiniais klausimais Pietų Korėjoje. APT37 naudoja kelių kenkėjiškų programų komponentų derinį, įskaitant stebėjimo įrankį „FadeStealer“, kuris ne tik fiksuoja klavišų paspaudimus, bet ir daro ekrano kopijas bei įrašo garso duomenis. Tada šie duomenys suglaudinami į slaptažodžiu apsaugotus RAR archyvus ir perkeliami į C2 serverį. Saugumo analizė rodo, kad kompromisas įvyksta naudojant apsaugos nuo aptikimo priemones, tokias kaip Transactional NTFS ir Process Doppelganging, todėl kenkėjiškos programos aptikimas dar labiau apsunkinamas, kaip aiškina Cyberpress.

Suplanuota užduotis, užmaskuota kaip „MicrosoftUpdate“, reguliariai vykdo „Rustonotto“ naudingą apkrovą, taip užtikrindama nuolatinę prieigą prie paveiktų sistemų. Kenkėjiška programa naudoja kodavimo metodų derinį, kad padengtų savo pėdsakus ir paveiktų stebėjimą.

APT ir jų tikslai

BSI (Federalinis informacijos saugumo biuras) tokių atakų komandų veiklą stebi jau ilgą laiką. Savo ataskaitose jie dokumentuoja strateginius šių grupių tikslus, kurie laikui bėgant gali keistis. Dabartinei grėsmės aplinkai būdingos ilgalaikės užpuolikų grupės, kurios siekia konkrečių interesų, o APT37 atlieka svarbų vaidmenį ir siekia rinkti informaciją, kaip ir [BSI].

Užpuolikai dažnai veikia legalioje pilkojoje zonoje, todėl jų veikla yra ypač sprogi. Su tokiomis technologijomis kaip šiuolaikinės programavimo kalbos ir sudėtingi įpurškimo metodai, APT37 pasirodė esąs ne tik grėsmingas, bet ir itin pritaikomas. Todėl įmonės ir asmenys raginami permąstyti savo kibernetinio saugumo strategijas ir reguliariai tikrinti, ar esamose sistemose nėra kompromiso požymių.

Kibernetinių grėsmių pasaulis yra slidus ir nuolat kintantis – todėl pavojaus situacijos stebėjimas nepakenks!