终极动员令

2023年8月25日

朝鲜国家资助的演员拉撒路集团最近开始一个新的运动目标网络骨干的基础设施和医疗保健实体在欧洲和美国,安全研究人员从思科塔洛斯发现。研究人员说,袭击者开始利用ManageEngine ServiceDesk脆弱性(cve - 2022 - 47966) 2023年1月,只有五天之后公布。这个漏洞是非常关键,CVSS分数9.8/10和100/100的Kenna风险评分。演员使用的威胁利用获得最初的访问。成功开发引发的直接下载并执行恶意二进制通过Java运行时过程中,受感染的服务器上激活植入。这个二进制的变体MagicRAT恶意软件,思科名为QuiteRAT塔洛斯。在今年2月首次发现WithSecure, QuiteRAT一直在雷达下直到现在。像MagicRAT QuiteRAT Qt的框架,建立一个自由、开源、跨平台的框架为构建应用程序设计,包括功能,如任意命令执行。然而,其文件大小是4到5 mb小得多,相比之下18 mb。“这巨大的差异大小是由于拉撒路集团将只有少数需要QuiteRAT Qt库,而不是MagicRAT,他们整个Qt嵌入式框架,“读取分析,发布于2023年8月24日。 Once the implant starts running, it sends out preliminary system information to its command and control (C&C) servers. Then, it waits for the C&C to respond with a command code or an actual Windows command to execute on the endpoint via a child cmd.exe process. “While MagicRAT consists of persistence mechanisms implemented in it via the ability to set up scheduled tasks, QuiteRAT does not have a persistence capability and needs to be issued one by the C&C server to achieve continued operation on the infected endpoint,” the researchers added. This is the third documented campaign attributed to the Lazarus Group since the beginning of 2023, with the actor reusing the same infrastructure throughout these operations.