標題：Lazarus最新活動分析

今年上半年，一家軟件供應商受到了Lazarus惡意軟件的攻擊，該惡意軟件是通過未打補丁的正版軟件傳播的。值得注意的是，這些軟件漏洞並不是新的，儘管供應商發出了警告和補丁，但許多供應商的系統仍繼續使用有漏洞的軟件，允許攻擊者利用它們。幸運的是，研究人員的主動響應發現了對另一個供應商的攻擊，並有效地挫敗了攻擊者的努力。

經過進一步調查，研究人員發現開發被利用軟件的軟件供應商之前曾多次成為Lazarus的受害者。這種反復出現的漏洞表明，一個持久的攻擊者的目標可能是竊取有價值的源代碼或篡改軟件供應鏈，他們繼續利用公司軟件中的漏洞，同時瞄准其他軟件製造商。

攻擊時間

攻擊者表現出了高度的複雜性，採用了先進的逃避技術，並引入了SIGNBT惡意軟件來控制受害者。此外，在內存中發現的其他惡意軟件包括Lazarus著名的LPEClient，這是一種以受害者分析和有效負載傳播而聞名的工具，此前曾在針對國防承包商和加密貨幣行業的攻擊中被觀察到。

執行情況如下：

1.一個軟件供應商通過利用另一個備受矚目的軟件而受到威脅。

2.這次攻擊中使用的SIGNBT惡意軟件採用了多種攻擊鍊和複雜的技術。

3.在這次攻擊中使用的LPEClient被觀察到執行一系列與Lazarus組織相關的目標攻擊。

SIGNBT加載程序在2023年7月中旬，研究人員發現了一系列針對幾名受害者的攻擊，這些攻擊是通過合法的安全軟件進行的，這些軟件旨在使用數字證書加密網絡通信。該軟件被利用來傳遞惡意軟件的確切方法仍然難以捉摸。然而，研究人員在正版軟件的進程中發現了利用後的活動。

在檢查受害者係統中受攻擊安全軟件的內存時，研究人員發現了帶有shellcode的SIGNBT惡意軟件的存在，這個shellcode負責直接在內存中啟動Windows可執行文件。

攻擊者使用各種策略在受攻擊系統上建立和維護持久性。這包括在系統文件夾中創建一個名為ualapi.dll的文件，該文件在每次系統引導時由spoolsv.exe進程自動加載。此外，在幾個樣本中，記錄了註冊表項以執行合法文件，以進行惡意的側加載，從而進一步確保了持久性攻擊機制。

加載最終有效負載方法

利用spoolsv.exe進程進行劫持是Lazarus的長期策略。每次重啟後自動加載ualapi.dll文件並不是這個攻擊者獨有的新技術，研究人員在過去看到過類似的策略被Gopuram惡意軟件使用。

惡意的ualapi.dll文件是使用名為Shareaza Torrent Wizard的公開源代碼開發的，shareaza是一款在國外評價極高並且相當流行的開放源代碼的p2p軟件(簡稱raza),Shareaza集合了edonkey、gnutella(1和2)和bt四種流行p2p網絡類型,並可以用於http下載,在以後的版本將會支持ftp下載,由於其優秀的界面(支持換膚)、簡潔的操作以及極強的可製定性,所以在國外廣為流傳,其評價已躍居所有p2p軟件的前5之列,並且許多p2p的下載站點已將其指定為bt的官方下載工具。

Wizard 是基於Laravel開發框架開發的一款開源項目（API）文檔管理工具。 目前支持三種類型的文檔管理Markdown。它遵循典型的Lazarus組織攻擊方法，利用公共源代碼作為基礎，並向其中註入特定的惡意功能。這個加載程序惡意軟件有一個程序來驗證受害者，它通過從Windows註冊表中讀取受害者的MachineGuid來查看其是否存在其中，然後將其與嵌入的MachineGuid值進行比較。為了訪問這個嵌入式MachineGuid值，惡意軟件定位序列“43 EB 8C BD 1D 98 3D 14”，並讀取緊隨其後的DWORD。只有當受害者的MachineGuid與預期的匹配時，惡意軟件才會進行下一步。然後，惡意軟件從硬編碼的文件路徑讀取有效負載並繼續其惡意活動。

1.有效負載路徑：C:\Windows\system32\config\systemprofile\appdata\Local\tw-100a-a00-e14d9.tmp

加載程序進程從tw-100a-a00-e14d9.tmp中檢索前32個字節，並使用該數據作為AES解密密鑰來解密其餘內容。一旦解密，負載(標識為SIGNBT的Windows可執行文件)將直接加載到內存中。在這種情況下，加載的有效負載也從相同的路徑讀取配置文件，但文件名略有不同。

配置文件：C:\Windows\system32\config\systemprofile\appdata\Local\tw-100b-a00-e14d9.tmp，

該文件內部是一個base64編碼的字符串，這與之前的SIGNBT惡意軟件方法中使用的方法類似。該字符串的前32個字符作為AES解密密鑰，後面的數據包含惡意軟件使用的配置信息。解密後的配置數據包括三個C2地址(稱為代理)、睡眠間隔、版本信息、監視的目標以及對惡意軟件操作至關重要的各種其他參數等詳細信息。

SIGNBT大多數SIGNBT惡意軟件樣本是通過惡意軟件加載程序啟動的，該加載程序只在內存中運行。在執行時，惡意軟件在初始化其配置數據後，通過發送信標開始與C2服務器通信。在其C2通信中，惡意軟件使用以SIGNBT開頭的獨特字符串。這一獨特的特點為它贏得了SIGNBT的稱號。此外，惡意軟件在其C2操作的每個階段使用不同的前綴來驗證和維護其活動。

惡意軟件採用多步驟過程來創建一個24字節的值，用於各種目的。首先，它通過以下組件生成這個值：

1.8字節的硬編碼值(SIGNBTLG):這是值的固定部分，用於驗證客戶端連接的合法性。

2.主機名MD5哈希的8個字節:包括受害者計算機名MD5哈希的前8個字節，有助於區分每個受害者。

3.隨機生成的8字節標識符：另外8字節隨機生成，可能用於會話標識符。

在創建了這個24字節的值之後，惡意軟件會生成另外24字節的隨機數據。然後使用另一個隨機生成的24字節密鑰將這兩組24字節組合在一起。隨後，結果值和24字節密鑰都用base64編碼。最後，將這些編碼值與三個或七個隨機生成的HTTP參數名組合在一起。在未來的所有C2通信中，惡意軟件使用類似的結構，這使得檢測和分析其通信更具挑戰性。

HTTP POST數據結構

惡意軟件使用一種機制來驗證從C2服務器接收到的響應數據。具體來說，它檢查響應數據是否包含硬編碼的HTML腳本。

在驗證過程中，惡意軟件使用base64解碼來自C2服務器的前12個字節，用加號替換空格以創建一個7個字符的字符串，然後對接下來的12個字節重複此過程。然後將每個集合中的前七個字符異或處理並與“success”字符串進行比較，此重複過程應用於每個HTTP通信序列，以驗證響應是否符合預期的“success”標準。

接下來，惡意軟件發送帶有SIGNBTKE頭的HTTP請求，如果它收到來自C2服務器的“success”消息，它會激活CCBrush類中的getInfo函數。該功能收集受害者計算機的各種信息，如計算機名稱、產品名稱、操作系統詳細信息、系統正常運行時間、CPU信息、系統區域設置、時區、網絡狀態和惡意軟件配置數據。在發送此特定於系統的信息之後，惡意軟件發送另一個帶有SIGNBTGC前綴的HTTP請求，這次使用從100個可能的參數名稱列表中隨機選擇的嵌入式HTTP參數。

使用AES和從SIGNBTLG HTTP請求獲得的解密密鑰對從C2服務器接收到的數據進行解密。如果解密的數據是“keep”，惡意軟件使用SIGNBTSR前綴響應“OK”消息，表示通信成功。如果存在問題，惡意軟件使用SIGNBTFI前綴來傳達問題或通信失敗的性質。綜上所述，C2通信過程可以描述如下:

C2通信過程

如果傳遞的數據不等於“keep”，表明需要特定的指令或操作，則惡意軟件繼續調用相應的類和函數進行後門攻擊，SIGNBT惡意軟件配備了一套廣泛的功能，旨在對受害者的系統施加控制。為了執行這些功能，惡意軟件以類名、函數名和任何必要參數的形式從C2服務器接收指令。然後，它執行嵌入在惡意軟件代碼庫中的相關功能。

每個後門命令的名稱都很簡單，實現了常用的Windows命令，如ping、netstat和systeminfo。需要注意的是，後門能夠為自動執行植入額外的有效負載，內部命名為“deploy”。這個後門函數通過使用AES解密的命令行參數接收文件路徑，使用這個命令，可以觀察到SIGNBT植入瞭如上所述的SIGNBT加載程序部分已經描述過的魔幻DLL。

經過分析，攻擊者最初對受害者的攻擊涉及利用軟件漏洞，然後，他們開始使用DLL側加載技術部署SIGNBT惡意軟件。此外，攻擊者使用後門功能“deploy”來為自動執行植入額外的有效負載。這種多方面的攻擊表明了攻擊的高度複雜程度。

LPEClient使用如上所述的綜合後門，攻擊者在受害者的內存中部署了額外的惡意軟件。值得注意的是，這些新發布的惡意軟件變體主要只在系統內存中執行，而不干擾磁盤。根據研究人員的追踪分析，他們已經觀察到攻擊者向受害者設備提供了LPEClient和憑據轉儲實用程序等工具。

SIGNBT提供的額外有效負載

LPEClient惡意軟件並不新鮮，最早是在2020年對國防承包商攻擊的調查中發現的，它旨在收集受害者信息並從遠程服務器下載額外的有效負載以在內存中運行。雖然之前已經有過報導，但最近的發現表明LPEClient已經發生了重大的迭代。它現在採用先進的技術來改進其隱身性並避免檢測，例如禁用用戶模式系統調用掛鉤和恢復系統庫內存部分。這表明攻擊者在不斷努力提高其惡意軟件的複雜性和有效性。

與其他攻擊活動的聯繫此次攻擊中使用的一種名為LPEClient的惡意軟件在最近被認為是Lazarus組織開發的表現最為突出的攻擊活動。這種特殊的惡意軟件一直作為初始攻擊載體，加速了有效負載的傳播。在很長一段時間裡，專門針對國防承包商和核工程師。

在最近的一次事件中，攻擊者通過木馬化的VNC或Putty客戶端發送LPEClient進行中間攻擊，從而攻擊目標。另一個針對加密貨幣行業的活動是在2023年7月發現的，在這個以經濟動機的攻擊活動中，攻擊者利用了與3CX供應鏈攻擊有關的Gopuram惡意軟件。有趣的是，在該樣本中，攻擊者還使用了LPEClient惡意軟件。在引入Gopuram集群之前，LPEClient被用於傳播後續的惡意軟件。這三個被認為是Lazarus在2023年發起的攻擊，說明了不同的初始攻擊載體和攻擊鏈，但它們始終依賴於LPEClient惡意軟件來傳遞最終的有效負載。

2023年Lazarus攻擊的三此活動的攻擊鏈

總結在當今的網絡安全領域，Lazarus組織仍然是一個高度活躍和多才多藝的攻擊者。攻擊者已經展示了對IT環境的深刻理解，改進了他們的策略，包括利用高知名度軟件中的漏洞，這種方法允許他們在初始攻擊完成後有效地傳播惡意軟件。此外，這個臭名昭著的攻擊者的活動超越了地理界限和行業部門，他們針對不同的行業有不同的目標，使用不同的工具、戰術和技術，這突出表明他們最近的活動具有復雜的方法和明確的動機。