2009 rok. Wtedy, według „czynników rządowych” w USA miała się rozpocząć aktywność północnokoreańskich hakerów. Ich celem było uzyskanie dostępu do szeregu systemów w mniejszy lub większy sposób związanych z waszyngtońską administracją. Niekoniecznie po to, by siać zamęt – choć w opinii niektórych to właśnie kojarzona z Pyongyangiem grupa Lazarus ma stać m.in. za niedawną epidemią ransomware WannaCry, przypisywany jest jej także atak na naszą Komisję Nadzoru Finansowego. Spektakularne ataki to tylko ułamek ich „osiągnięć”. Najistotniejsze z punktu widzenia tego, co po angielsku nazywa się ładnie „nation sponsored cybercrime” jest znalezienie sobie wejścia do systemu i siedzenia tam tak cicho, żeby przypadkiem nikt nas nie zauważył…
Uśpiony malware
I wygląda na to, że Koreańczykom (przy założeniu, że grupa Lazarus to faktycznie podwładni Kim Jong-Una) całkiem nieźle się to udawało, przynajmniej w ostatnim czasie. Według najświeższego alertu wydanego wspólnie przez US-CERT i FBI wykryli oni aktywności kojarzonej z Lazarusem grupy znanej jako Hidden Cobra w wielu potencjalnie krytycznych lokalizacjach w sieci, związanych m.in. z przemysłem kosmicznym, telekomunikacyjnym i finansowym. Używane przez nich złośliwe oprogramowanie Fallchill to rozbudowany RAT (Remote Access Trojan, koń trojański pozwalający na zdalny dostęp do zainfekowanego urządzenia). W opinii autorów alertu fakt, iż Fallchill trafił na urządzenia w niemal 100 firmach/agendach rządowych dowodzi wcześniejszej infekcji innym, nieodkrytym uprzednio malwarem, wykorzystanym po okresie uśpienia w roli „droppera” kolejnego złośliwego kodu.
My też się bójmy. Na wszelki wypadek.
Dlaczego ma to być nasz problem? Choćby dlatego, że sieć nie zna granic. Udowodnił to przypadek Petya/NotPetya, gdzie „odłamkami” oberwała spora część Europy i nie tylko. To także określany pierwszą cyber-bronią Stuxnet, który – choć zaatakował jedynie wzbogacające uran wirówki w irańskim Natanz – został wykryty na komputerach w wielu częściach świata. Poza tym Lazarus/Hidden Cobra to tylko jednak z wielu grup korzystających na naiwności internautów. Wiara w to, że nas/naszej firmy nie warto przecież atakować, ociera się o dużą naiwność. Dlatego niezależnie od tego, czy boimy się Koreańczyków, nieprzerwanie warto pamiętać o:
- nieklikaniu w linki w mailach od obcych, nieotwieraniu niezamówionych załączników
- nie uruchamianiu makr w plikach Office jeśli nie mamy absolutnej pewności, że są ich niezbędnym elementem
- uaktualnianiu systemu operacyjnego i używanych aplikacji
- korzystaniu z oprogramowania skanującego ściągnięte z internetu pliki przed ich uruchomieniem
- nieprzydzielaniu użytkownikom naszej sieci automatycznie dostępu do wszystkiego
