Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Il gruppo di criminali informatici nordcoreani Lazarus sta sfruttando la famigerata vulnerabilità nell’utilità di registrazione dei log Log4j per iniettare backdoor nei server VMware Horizon per infettarli ulteriormente con malware per il furto di dati.
Si tratta di una vulnerabilità legata all’esecuzione di codice in modalità remota CVE-2021-44228, nota anche come Log4Shell, che interessa molti prodotti, incluso VMware Horizon.
Gli hacker hanno iniziato a sfruttare i server Horizon vulnerabili nel gennaio 2022 e molti rimangono vulnerabili fino ad oggi nonostante gli aggiornamenti di sicurezza disponibili.
Secondo un rapporto ASEC di Ahnlab, il gruppo Lazarus ha attaccato i prodotti VMware vulnerabili tramite Log4Shell dal mese scorso.
All’inizio dell’attacco, gli aggressori sfruttano una vulnerabilità in Log4j tramite il servizio Apache Tomcat in Vmware Horizon per eseguire un comando PowerShell. In definitiva, questo comando porta all’installazione della backdoor NukeSped (NukeSpeed) sul server, che è associato a gruppi APT della RPDC.
L’ultima backdoor analizzata da ASEC è scritta in C++ e utilizza la crittografia RC4 per comunicare in modo sicuro con l’infrastruttura C&C. In precedenza, NukeSped utilizzava XOR.
In un ambiente compromesso, NukeSped esegue varie attività di spionaggio informatico, acquisire schermate, registra le sequenze dei tasti sulla tastiera, accede a file, ecc. La nuova versione della backdoor contiene anche due nuovi moduli: per il furto di contenuti USB e l’accesso alle webcam.
Lazarus utilizza NukeSped per installare un infostealer aggiuntivo che ruba i seguenti dati:
In alcuni casi, al posto di NukeSped, tramite la vulnerabilità Log4Shell, il gruppo Lazarus implementa il minatore di criptovaluta Jin Miner.
