Severokorejská hackerská skupina Lazarus nasadila nový malware označovaný jako RemotePE – trojský kůň pro vzdálený přístup (RAT), který funguje výhradně v operační paměti počítače a nezanechává žádné stopy na pevném disku. Tento sofistikovaný nástroj byl použit při útocích cílených na finanční instituce a společnosti působící v oblasti kryptoměn.
Co je RemotePE a proč je nebezpečný?
RemotePE představuje pokročilý typ malwaru kategorie „memory-only“, což znamená, že se nikdy nezapisuje na disk napadeného zařízení. Díky tomu dokáže účinně obcházet tradiční antivirové nástroje a bezpečnostní řešení, která se spoléhají na skenování souborů. Útočníci tak získají plný vzdálený přístup k infikovanému systému, aniž by zanechali standardní digitální stopy.
Tento přístup výrazně ztěžuje detekci a forenzní analýzu po útoku, protože po restartu systému veškeré stopy po malwaru z paměti zmizí.
Lazarus a jeho cíle
Skupina Lazarus je dlouhodobě spojována se severokorejskou vládou a je odpovědná za řadu rozsáhlých kybernetických útoků po celém světě. Její aktivity jsou tradičně motivovány finančním ziskem – zejména krádeží prostředků z bank a kryptoměnových burz – ale také kybernetickou špionáží.
V případě kampaně s RemotePE se skupina zaměřila především na:
- Finanční instituce – banky a investiční společnosti
- Kryptoměnové platformy – burzy a peněženky digitálních aktiv
Tyto sektory jsou pro skupinu Lazarus dlouhodobě prioritními cíli, neboť nabízejí možnost přímého finančního obohacení.
Technické detaily útoku
Malware RemotePE využívá techniku zvanou process injection, při níž se škodlivý kód vkládá přímo do legitimních procesů běžících v paměti operačního systému. Tím maskuje svou přítomnost a ztěžuje jeho odhalení bezpečnostními nástroji.
Celý útočný řetězec je navržen tak, aby minimalizoval viditelné stopy a maximalizoval dobu, po kterou může útočník v kompromitovaném systému nepozorovaně operovat.
Jak se bránit?
Vzhledem k tomu, že tradiční antivirová řešení nejsou vůči hrozbám tohoto typu příliš účinná, bezpečnostní experti doporučují:
- Nasazení nástrojů typu EDR (Endpoint Detection and Response), které monitorují chování procesů v paměti
- Důsledné sledování síťového provozu a anomálií v chování systémů
- Pravidelné bezpečnostní audity a penetrační testování
- Vzdělávání zaměstnanců v oblasti rozpoznávání phishingových útoků, které jsou častým vstupním vektorem
Nasazení malwaru RemotePE skupinou Lazarus potvrzuje rostoucí sofistikovanost severokorejských kybernetických operací. Schopnost operovat výhradně v paměti bez zanechání souborových stop představuje vážnou výzvu pro celý bezpečnostní průmysl. Finanční sektor a kryptoměnové platformy by měly svá bezpečnostní opatření přehodnotit a posílit detekční schopnosti zaměřené na hrozby operující v paměti.
Zdroj: thehackernews.com
