ESET, la mayor empresa de ciberseguridad de la Unión Europea, ha descubierto los intentos de desplegar el malware Lazarus a través de un ataque a la cadena de suministro en Corea del Sur. En esta ocasión, la novedad se encontraba en el inusual mecanismo de la cadena de suministro utilizado por los atacantes para propagar el malware: los ciberdelincuentes hacían un uso malicioso de soluciones de seguridad legítimas y de certificados digitales robados a dos empresas diferentes. El hecho de que en Corea del Sur sea necesario descargar e instalar programas de seguridad adicionales cuando se visitan sitios web del gobierno y de banca online ha facilitado el trabajo a los ciberdelincuentes.
“Para entender este ataque tan novedoso, hay que conocer WIZVERA VeraPort, un programa surcoreano de integración de instalaciones que ayuda a gestionar el software adicional necesario para operar en ciertas webs del país. Cuando se descarga WIZVERA VeraPort el usuario recibe e instala todo el software necesario requerido por la web en cuestión con una interacción mínima para realizar la configuración”, explica Anton Cherepanov, el analista de ESET que ha liderado la investigación. “Normalmente, este programa se usa para acceder a páginas gubernamentales o sitios de banca online en Corea del Sur, y en muchos casos es obligatorio tener WIZVERA VeraPort instalado para poder acceder a esos sitios”.
Por otro lado, los atacantes utilizaron certificados de firma de código obtenidos de forma irregular para poder firmar las muestras de malware. Uno de estos certificados había sido emitido a la filial estadounidense de una compañía surcoreana de seguridad. “Los atacantes camuflaban las muestras de Lazarus como un software legítimo, con nombres de archivo, iconos y recursos similares al software oficial”, asegura Peter Kálnai, investigador de ESET que ha analizado el ataque de Lazarus junto a Cherepanov. “La combinación de las webs comprometidas con el soporte de WIZVERA VeraPort y con algunas configuraciones específicas de VeraPort es lo que ha permitido que este ataque tuviera éxito”, añade Kálnai.
El laboratorio de ESET cuenta con fuertes indicios para atribuir este ataque a Lazarus como continuación de la operación BookCodes, denominada así por KrCERT y atribuida a Lazarus por la comunidad de investigadores en ciberseguridad. Además, el hecho de que cuente con características similares en el conjunto de herramientas, la detección como NukeSpeed por parte de ESET de varias herramientas, que el ataque haya ocurrido en Corea del Sur -donde Lazarus ya ha operado más veces-, la naturaleza personalizada y poco común de los métodos de intrusión y cifrado utilizados y la configuración de la infraestructura de red también llevan a pensar que el origen de la campaña es Lazarus. El conjunto de herramientas de Lazarus es muy amplio, por lo que ESET cree que existen otros subgrupos operando. Además, al contrario que con otros conjuntos de herramientas utilizados por otros grupos cibercriminales, los códigos fuente de Lazarus nunca han sido revelados en ninguna filtración que se haya hecho pública.
Para más información sobre el ataque de Lazarus, se puede visitar el blog de ESET.
