Lazarus Group-მა თავდაცვის სექტორის კომპანიებზე თავდასხმისთვის Windows-ის ნულოვანი დღის მოწყვლადობა და კვანტური შიფრაცია გამოიყენა

ჩრდილოეთ კორეის Lazarus Group-მა Windows-ის მანამდე უცნობი მოწყვლადობა გამოიყენა რამდენიმე ქვეყნის თავდაცვის, აეროკოსმოსური და ავიაციის სექტორების კომპანიების კომპიუტერებზე კონტროლის ხელში ჩასაგდებად. მკვლევრებმა ამ კვირაში განაცხადეს, რომ თავდასხმის დროს ჰაკერებმა კვანტური მედეგობის შიფრაცია გამოიყენეს, რათა ექსპლოიტის მიწოდება დაემალათ.

Microsoft-მა ↘ 2.26% ხარვეზი, აღნიშნული როგორც CVE-2026-68820, 11 აგვისტოს უსაფრთხოების ყოველთვიური განახლების ფარგლებში გამოსწორა, ხოლო კიბერუსაფრთხოებისა და ინფრასტრუქტურის დაცვის სააგენტომ (CISA) ფედერალურ სამოქალაქო უწყებებს დაავალა, 25 აგვისტომდე დააყენონ განახლება. Check Point Research-მა, რომელმაც მოწყვლადობა აღმოაჩინა და Microsoft-ს 28 ივლისს შეატყობინა, განაცხადა, რომ Lazarus-ი ექსპლოიტს სულ მცირე ივლისის დასაწყისიდან იყენებდა, ხოლო ამოღებული რუტკიტის ნიმუშის შექმნის თარიღი 7 ივლისია.sofx+1

ნაცნობი სატყუარა, ახალი ტექნიკური დახვეწილობა

ეს შეღწევები არის Operation Dream Job-ის უახლესი ტალღა. ეს არის Lazarus-ის კამპანია, რომელიც 2020 წლიდან აქტიურობს, სადაც ოპერატორები თავს რეკრუტერებად გასაღებენ და ინჟინრებს ყალბ სამუშაო შეთავაზებებს სთავაზობენ. ამ ეტაპზე თავდამსხმელები Lockheed Martin-ისა ↗ 1.50% და კონფიდენციალურობის ტექნოლოგიების კომპანია Enveil-ის რეკრუტერების სახელით მოქმედებდნენ. ისინი სამიზნეებს LinkedIn-სა და მესენჯერებში ეკონტაქტებოდნენ, რის შემდეგაც რეკრუტირების მასალებად შეფუთულ მავნე ფაილებს უგზავნიდნენ. Check Point-ის განცხადებით, Enveil-ი არც სამიზნე ყოფილა და არც მისი უსაფრთხოება დარღვეულა.etvbharat+2

თვითონ მოწყვლადობა არის use-after-free ტიპის რბოლის პირობა (race condition) AFD.sys-ში, Windows-ის დრაივერში, რომელიც ქსელური სოკეტების კავშირებს მართავს. იგი უკვე შეღწეულ თავდამსხმელს საშუალებას აძლევს, მომხმარებლის ჩარევის გარეშე გაიფართოოს პრივილეგიები SYSTEM დონემდე. Check Point-მა ექსპლოიტის ეფექტურობა სრულად განახლებულ Windows 11 სისტემაზე დაადასტურა.bleepingcomputer+2

ამ ტალღას გამორჩეულს ხდის მიწოდების მექანიზმი. პრივილეგიების გაფართოების ექსპლოიტის ჩამოტვირთვამდე, მავნე პროგრამა მართვის არხის შეთანხმებას ახდენდა Kyber-ის (ML-KEM) გამოყენებით. ეს არის გასაღების ინკაფსულაციის სქემა, რომლის სტანდარტიზაციაც აშშ-ის სტანდარტებისა და ტექნოლოგიების ეროვნულმა ინსტიტუტმა 2024 წელს მოახდინა მომავალი კვანტური კომპიუტერების თავდასხმებისადმი გაძლების მიზნით. ამის ტრადიციულ შიფრაციაზე დაშრობამ დამცველებისთვის ექსპლოიტის მიწოდების შემოწმება გაართულა.sofx

გატეხილ სისტემებზე აგებული ინფრასტრუქტურა

ინსტალაციის შემდეგ, მავნე ტვირთი იყო FudModule, Lazarus-ის ბირთვის რუტკიტი, რომელიც თიშავს Windows-ის Event Tracing-ის 94 მონიტორინგის არხს და ცვლის Smart App Control-ის პარამეტრებს. ჯგუფი თავის ინფრასტრუქტურას თითქმის მთლიანად სხვის კომპიუტერებზე ამუშავებდა. ტრაფიკის გადამისამართებისთვის ისინი იყენებდნენ გატეხილ Roundcube ვებ-ფოსტის სერვერებსა და ონლაინ მაღაზიებს. Check Point-მა ასეთი სულ მცირე 17 სერვერი გამოავლინა.bleepingcomputer+1

სამიზნეები ძირითადად საფრანგეთში, გერმანიაში, ბრაზილიასა და ინდოეთში იყვნენ კონცენტრირებული, ხოლო საფრანგეთში გატეხილი სულ მცირე ერთი ორგანიზაცია დამატებით მსხვერპლზე მიზნობრივი ფიშინგური თავდასხმების განსახორციელებლად გამოიყენეს.etvbharat+1

სერგეი შიკევიჩმა, Check Point-ის საფრთხეების ანალიტიკის დირექტორმა, განაცხადა, რომ საფრთხე იმაში მდგომარეობდა, თუ როგორ რთავდა ჯგუფი სანდო ინფრასტრუქტურას თითოეულ ეტაპზე. „ისინი ყველას თვალწინ იმალებოდნენ, საძიებო სისტემების საუკეთესო შედეგების, რეალური კომპანიების ბრენდინგისა და უკვე გატეხილი ორგანიზაციების რეპუტაციის ამოფარებით“, აღნიშნა მან.sofx