北韓駭客Lazarus開發出瞄準Linux的木馬程式

北韓駭客組織Lazarus能力愈來愈強大。安全研究人員發現,除了Windows、Mac平台外,現在他們也開發出可駭入Linux平台的遠端存取木馬(Remote Access Trojan,RAT)程式。

 

安全廠商Netlab 360今年10月發現一款可疑的ELF檔案,經過特徵和行為分析發現,是一功能齊備、行為隱蔽,而且是同時適用於Windows和Linux的RAT程式,且和北韓駭客組織Lazarus有關。事實上,它在今年5月就出現,而且也被26款防毒軟體偵測到,但卻鮮為人知。Net360根據其檔案名及程式內的字串命名為Dacls。

 

Lazarus被認為是2014年攻擊Sony影業,2017年以WannaCry感染全球,在背後發動攻擊的北韓駭客組織。

 

研究人員說,Dacls是一種新型RAT,發展出感染Windows和Linux的版本,兩種版本有同樣的C&C協定。他們一共發現5隻樣本。Windows模組從遠端URL動態下載,Linux模組則直接編碼在Bot行程中。Linux.Dacls內有6個模組,包括指令執行、文件與行程管理、網路測試、C&C連線及網路掃瞄。

 

研究人員相信它是開採Atlassian Confluence 6.6.12以後版本中的Widget Connector巨集上的遠端程式執行漏洞CVE-2019-3396來感染系統並植入。這個漏洞今年4月趨勢科技公告已經有多起網路攻擊事件。

 

Linux版進入受害系統後以背景執行和C&C伺服器建立加密連線,以利背後的攻擊者更新指令,還會加密保護其組態檔。在受害系統上Dacls可以做任何事,像是竊取、刪除與執行檔案或行程、下載攻擊程式、掃瞄目錄結構、建立daemon行程、並上傳其蒐集掃瞄資料及指令執行結果到C&C伺服器。

 

CVE-2019-3396已在今年3月由廠商修補,因此安全公司呼籲用戶應儘速安裝升級版,以封鎖Dacls為害。

 

Dacls的出現也顯示北韓駭客不斷翻新。上個月安全界才發現一隻Mac版木馬程式已演化為無檔案(fileless)攻擊手法,也是來自這群駭客。

(相關資訊來自iThome