Lazarus sfrutta Log4j per installare backdoor su VMware Horizon

Redazione RHC : 22 Maggio 2022 00:45

Il gruppo di criminali informatici nordcoreani Lazarus sta sfruttando la famigerata vulnerabilità nell’utilità di registrazione dei log Log4j per iniettare backdoor nei server VMware Horizon per infettarli ulteriormente con malware per il furto di dati.

Si tratta di una vulnerabilità legata all’esecuzione di codice in modalità remota CVE-2021-44228, nota anche come Log4Shell, che interessa molti prodotti, incluso VMware Horizon.

Gli hacker hanno iniziato a sfruttare i server Horizon vulnerabili nel gennaio 2022 e molti rimangono vulnerabili fino ad oggi nonostante gli aggiornamenti di sicurezza disponibili.

Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Secondo un rapporto ASEC di Ahnlab, il gruppo Lazarus ha attaccato i prodotti VMware vulnerabili tramite Log4Shell dal mese scorso.

All’inizio dell’attacco, gli aggressori sfruttano una vulnerabilità in Log4j tramite il servizio Apache Tomcat in Vmware Horizon per eseguire un comando PowerShell. In definitiva, questo comando porta all’installazione della backdoor NukeSped (NukeSpeed) sul server, che è associato a gruppi APT della RPDC.

L’ultima backdoor analizzata da ASEC è scritta in C++ e utilizza la crittografia RC4 per comunicare in modo sicuro con l’infrastruttura C&C. In precedenza, NukeSped utilizzava XOR.

In un ambiente compromesso, NukeSped esegue varie attività di spionaggio informatico, acquisire schermate, registra le sequenze dei tasti sulla tastiera, accede a file, ecc. La nuova versione della backdoor contiene anche due nuovi moduli: per il furto di contenuti USB e l’accesso alle webcam.

Lazarus utilizza NukeSped per installare un infostealer aggiuntivo che ruba i seguenti dati:

• Credenziali e cronologia di navigazione da Google Chrome, Mozilla Firefox, Internet Explorer, Opera e Naver Whale;
• Dati e-mail da Outlook Express, MS Office Outlook e Windows Live Mail;
• Nomi dei file utilizzati di recente in MS Office (PowerPoint, Excel e Word) e Hancom 2010.

In alcuni casi, al posto di NukeSped, tramite la vulnerabilità Log4Shell, il gruppo Lazarus implementa il minatore di criptovaluta Jin Miner.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli