Lazarus’ False Flag Malware

【Lazarus’ False Flag Malware】是一份关于网络安全的研究报告，主要关注的是一个名为“Lazarus”的威胁行动者利用虚假标志恶意软件对银行进行的攻击。Lazarus是著名的高级持续性威胁（APT）组织，以进行复杂的网络攻击而闻名，尤其是针对金融机构。 报告指出，这些攻击通过在至少两个金融监管网站以及其它网站上设置水坑（watering hole）来实施，即在受感染的网站上放置恶意代码，以感染访问这些网站的银行用户。这种策略旨在利用网站的信誉，使受害者在不知情的情况下下载恶意软件。 在提供的文件哈希列表中，只有三个样本能在公共恶意软件库中找到，且这些样本近期都来自波兰。这些样本包括srservice.chm、srservice.hlp和srservice.dll，以及两个名为07fdsvc.exe和07fdsvc.dll的文件。其中，srservice.dll是一个64位动态链接库（DLL），编译于2016年10月22日，而07fdsvc.exe和07fdsvc.dll则可能与攻击载荷的执行有关。 攻击者使用了一种称为“虚假旗标”（False Flag）的技术，这是一种混淆手段，目的是误导调查人员和安全专家，让他们误以为攻击源自其他实体或国家。在此次攻击中，同样的技术也出现在了一个基于SWF的exploit中，其MD5哈希为6dffcfa68433f886b2e88fd984b4995ac，这表明攻击者可能使用了Adobe Flash漏洞来进一步传播恶意软件。 分析部分详细探讨了这些样本，特别是srservice.chm，它可能是一个加密的后门程序，由DLL加载器解密并注入到系统中。文件名srservice.chm与Lazarus工具包中创建CHM和HLP文件名的方法一致，这种命名方式通常用于隐藏恶意软件的真实性质。 报告还强调了对水坑利用工具包代码本身的深入研究，以便提高检测和网络防御的能力。通过公开这些信息，研究人员希望帮助网络安全社区更好地识别和防范此类攻击。 "Lazarus’ False Flag Malware"报告揭示了高级威胁团伙如何巧妙地利用网络漏洞和混淆技术来绕过安全防护，对全球的银行系统构成严重威胁。了解这种攻击手段和恶意软件的特性，对于防御者来说至关重要，可以帮助他们提升检测能力，及时发现并阻止类似攻击的发生。