背景
Lazarus是疑似具有东北亚背景的APT组织，因2014年攻击索尼影业开始受到广泛关注，其攻击活动最早可追溯到2007年，该组织早期主要针对其他国家政府机构，以窃取敏感情报为目的。但自2014年后，该组织开始针对全球金融机构 ，虚拟货币交易场等为目标，进行以敛财为目的的攻击活动。
近日，奇安信威胁情报中心红雨滴团队在日常的异常样本监控过程中捕获到多例该团伙利用疫情为诱饵攻击周边国家的样本。定向攻击使用韩国地区特有的HWP文档并伪装为韩国仁川疾控中心的邮件进行投递，具有极强的针对性。红雨滴团队在发现此次攻击活动的第一时间向安全社区进行预警。
样本分析
HWP文档释放DLL后门的攻击样本
文件名
인천광역시 코로나바이러스 대응 긴급 조회 .hwp
MD5
bc13fc599bb594bc19ac9e6fde0c28c6
攻击者伪装为韩国仁川疾控中心发送了带有恶意HWP文档附件的定向攻击邮件：
文件名
Svchost.exe
Md5
fe2d05365f059d48fd972c79afeee682
来源
http://www.sofa.rs/wp-content/themes/twentynineteen/sass/layout/h1.jpg
该样本加入大量花指令，干扰分析：
总结
Lazarus 团伙是一个长期活跃的APT组织，其网络攻击武器库十分强大，拥有对多平台进行攻击的能力。近年来，该团伙多次被安全厂商披露，但从未停止进攻的脚步，反而越发活跃，攻击目标也越发广泛。同时，该团伙也多次针对中国国内进行攻击活动，所以企业用户在日常的工作中，切勿随意打开来历不明的邮件附件和链接。
目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。
IOC
MD5
8451be72b75a38516e7ba7972729909e
bc13fc599bb594bc19ac9e6fde0c28c6
4662dfa19bd590b1088befa28426a161
b5a31d89f5b83d37c921d159364c968c
e6521be3b323865cf05f27d7c43aeff2
URL
hxxp://www.sofa.rs/wp-content/themes/twentynineteen/sass/layout/h1.jpg
hxxp://teslacontrols.ir/wp-includes/images/detail31.jpg
hxxp://teslacontrols.ir/wp-includes/images/detail32.jpg
hxxp://www.kingsvc.cc/index.php
hxxp://www.sofa.rs/wp-admin/network/server_test.php
hxxp://www.afuocolento.it/wp-admin/network/server_test.php
hxxp://www.mbrainingevents.com/wp-admin/network/server_test.php
未经允许不得转载：x-sec » Lazarus APT组织利用新冠疫情诱饵针对韩国地区的定向攻击分析
x-sec
