通过跟踪 DeathNote 活动跟随 Lazarus 小组

拉扎鲁斯集团的多源恶意软件活动总结

主要内容概述：

• 拉扎鲁斯集团：全球活跃的高产威胁组织，以其多样化的攻击手段和目标广泛而著称。其攻击范围从网络间谍活动到金融获利，涉及多个行业。

• 恶意软件集群：拉扎鲁斯集团使用多个恶意软件集群进行攻击，这些集群随着时间的推移不断发展和分化。主要集群包括AppleJeus、ThreatNeedle、DeathNote、Bookcode、CookieTime、Mata等。

• 集群间的联系：

  • 代码重叠：多个集群共享某些代码片段。
  • 后开发工具相似性：使用相似的工具进行辅助访问和通信。
  • 共享C2服务器：某些集群在不同时间共用C2（命令与控制）服务器。
  • 工具和技术差异：每个集群在初始感染方法、恶意软件组件和开发环境上有明显的区别。

关键数据提炼：

• 时间线：Mascrypt集群在2018年后引入了一个较新的恶意软件集群。
• 主要目标：加密货币业务、移动游戏公司、国防工业、安全研究人员。
• 感染方法：
  • 苹果耶稣：通过伪装的加密货币交易应用程序。
  • 威胁针：鱼叉式网络钓鱼、水坑攻击、木马化应用程序。
  • 死亡笔记：利用国防工业职位空缺的虚假文档作为诱饵。
  • 饼干时间：利用HTTP流量中的“boocode”参数进行C2通信。
  • 马塔：使用宏填充的Word文档或木马化应用程序。
• 工具和技术差异：
  • AppleJeus：主要使用木马化应用程序。
  • 威胁针：多阶段感染，使用多组件。
  • 死亡笔记：使用鱼叉式网络钓鱼和木马化PDF阅读器。
  • 饼干时间：使用木马化应用程序和隐蔽通信技术。
  • 马塔：基于插件的框架，支持多种操作系统。

结论：

拉扎鲁斯集团通过其多个恶意软件集群展示了高度的灵活性和适应性，不仅在目标选择上广泛多样，而且在攻击手段和技术上持续创新和发展。理解这些集群之间的联系和差异对于有效防御至关重要。各集群的独特特征和策略使得防御措施需要针对性地调整，以应对不同攻击方式的挑战。