APT Lazarus Group арендовала вредоносное ПО у операторов TrickBot

Киберпреступная группировка Lazarus Group, предположительно спонсируемая государством Северной Кореи, арендовала вредоносные инструменты и доступ к взломанным сетям у операторов ботнета TrickBot.

Киберпреступники также вооружились новым набором инструментов, получившим название Anchor. Он представляет собой новую разновидность вредоносного ПО и предоставляется в виде модуля TrickBot.

По словам исследователей из компании SentinelOne, вредонос Anchor создан для преступников, которые хотят оставаться в тени и избегать обнаружения в ходе атак. Данный инструмент может использоваться в атаках, нацеленных на крупные корпорации, где злоумышленникам необходимо оставаться незамеченными в течение нескольких недель или месяцев, пока они похищают данные, и даже на протяжении длительного времени после прекращения атак, отметили эксперты.

Anchor состоит из различных подмодулей, предоставляющих различные функции для целевых атак, включая перемещение в сети, возможность установки бэкдоров для последующего доступа, функции для целевых PoS-систем, извлечение данных платежных карт из оперативной памяти и очистку системы от следов заражения.

Как сообщили эксперты, Lazarus Group арендовала доступ к зараженной системе через ботнет TrickBot, а затем использовала инструмент Anchor для установки бэкдора PowerRatankba в сети взломанной компании. Исследователи не пояснили, какие именно цели преследовали преступники.

Напомним, ранее в нынешнем году Управление по контролю за иностранными активами Министерства финансов США объявило о санкциях против трех киберпреступных группировок, предположительно спонсируемых государством Северной Кореи, которые совершали кибератаки на правительственные и частные организации по всему миру. В санкционный список попали Lazarus Group, Bluenoroff и Andariel.