M­i­c­r­o­s­o­f­t­,­ ­J­e­t­B­r­a­i­n­s­ ­T­e­a­m­C­i­t­y­ ­K­u­s­u­r­u­n­d­a­n­ ­Y­a­r­a­r­l­a­n­a­n­ ­K­u­z­e­y­ ­K­o­r­e­ ­S­a­l­d­ı­r­ı­l­a­r­ı­ ­K­o­n­u­s­u­n­d­a­ ­U­y­a­r­d­ı­

Microsoft, saldırganın belirli durumlarda her iki saldırı dizisindeki araç ve tekniklerin birleşiminden yararlandığına tanık olduğunu söyledi.

Öte yandan, Onyx Sleet tarafından gerçekleştirilen izinsiz girişler, JetBrains TeamCity hatasının istismar edilmesiyle sağlanan erişimi kullanarak, muhtemelen Kerberos Bilet Verme Biletini taklit etmeyi amaçlayan krtbgt adında yeni bir kullanıcı hesabı oluşturuyor.

Microsoft, “Hesabı oluşturduktan sonra tehdit aktörü, hesabı net kullanım aracılığıyla Yerel Yöneticiler Grubuna ekler” dedi. “Tehdit aktörü ayrıca güvenliği ihlal edilmiş sistemlerde çeşitli sistem keşif komutları çalıştırıyor.”

Saldırılar daha sonra, tehlikeye atılan ana bilgisayar ile saldırganın kontrol ettiği altyapı arasında kalıcı bir bağlantı kurulmasına yardımcı olan HazyLoad adlı özel bir proxy aracının konuşlandırılmasına yol açıyor.

Bir diğer dikkate değer güvenlik ihlali sonrası eylem, saldırgan tarafından kontrol edilen krtbgt hesabının, güvenliği ihlal edilen cihazda uzak masaüstü protokolü (RDP) aracılığıyla oturum açmak için kullanılması ve diğer tehdit aktörlerinin erişimini engellemek amacıyla TeamCity hizmetinin sonlandırılmasıdır.

Yıllar geçtikçe Lazarus grubu, kripto para birimi soygunları ve tedarik zinciri saldırıları yoluyla finansal suç ve casusluk saldırılarını eşit ölçüde düzenleyen, şu anda aktif olan en zararlı ve sofistike gelişmiş kalıcı tehdit (APT) gruplarından biri haline geldi.

“Kuzey Kore’nin, Singapur, Vietnam ve Hong Kong da dahil olmak üzere dünya çapındaki altyapı çevresinde kripto para birimini hacklemesinin, füze programının ilerlemesini finanse etmek için kullanılan rejim için önemli bir gelir kaynağı olduğuna ve çok daha büyük olduğuna kesinlikle inanıyoruz. Geçen yıl çok sayıda fırlatma gördük,” ABD Ulusal Güvenlik Danışman Yardımcısı Anne Neuberger, söz konusu.

Bu gelişme, AhnLab Güvenlik Acil Durum Müdahale Merkezi’nin (ASEC), Lazarus Grubunun, virüs bulaşmış sistemleri kontrol etmek için arka kapılara hizmet veren bir kanal görevi gören Volgmer ve Scout gibi kötü amaçlı yazılım ailelerini kullanmasını ayrıntılarıyla anlatmasıyla ortaya çıktı.