SyncHole操作：Lazarus APT返回油井

核心观点

• Lazarus组织是一个自2009年起活跃的、与朝鲜政权有关联的威胁行为者，其活动涉及网络间谍、网络破坏和追求经济利益等多个方面。
• Lazarus组织在全球范围内活动，目标公司和个人来自世界各地，其攻击目标主要集中在航空航天、国防、金融和加密货币行业。
• Lazarus组织采用多种攻击手法，包括社会工程学攻击、供应链攻击和漏洞利用等，并不断演进其战术、技术和程序（TTPs）。
• Lazarus组织擅长使用开源项目进行恶意代码注入，并使用有效的代码签名证书来伪装其恶意软件。
• Lazarus组织开发了许多复杂的恶意软件，包括下载器和全功能远程访问工具（RAT），这些恶意软件具有高度隐蔽性和强大的功能。

关键数据

• Lazarus组织在2022年和2023年发起了多起攻击，包括针对西班牙航空航天公司、南美洲个人、美国和坦桑尼亚银行实体的攻击，以及韩国农业相关实体的OpenSSL后门攻击等。
• Lazarus组织使用了多种恶意软件，包括NickelLoader、WebbyTea、OfficeCertTea、ImprudentCook、WinInetLoader、wAgentTea、miniBlindingCan、BadCall/SimpleTea、BlindingCan、LightlessCan、PostNapTea、BackbitingTea、SecondHandTea和ThreatNeedleTea等。
• Lazarus组织使用了多种加密方法，包括AES-256、AES-128、RC4和ChaCha20等，以保护其恶意软件和网络通信。

研究结论

• Lazarus组织是一个高度组织化的威胁行为者，其活动对网络安全构成重大威胁。
• Lazaraus组织的攻击手法不断演进，其恶意软件也变得越来越复杂和隐蔽。
• 安全机构需要密切关注Lazarus组织的活动，并采取相应的措施来保护其目标。