Firma Kaspersky Lab przedstawiła wczoraj raport opisujący działania grupy Lazarus – zespołu hakerów wiązanych z Koreą Północną. Specjaliści odkryli, że z powodu technicznego błędu na jednym z zaatakowanych serwerów pozostały logi połączeń. Wśród odzyskanych zapisów znalazła się ważna wskazówka pozwalająca bezpośrednio powiązać ataki z azjatyckim reżimem.
Grupa cyberprzestępców określana nazwą Lazarus jest aktywna w globalnej sieci co najmniej od 2009 roku. Przypisuje się jej m.in. włamanie do serwerów firmy Sony Entertainment w 2014 r. i wyprowadzenie z banku centralnego w Bangladeszu 81 mln dolarów w 2016 r. O pochodzeniu hakerów wiadomo niewiele, ale na poszlaki świadczące o powiązaniach zespołu z północnokoreańskim reżimem firmy analizujące incydenty wskazywały wielokrotnie, także przy okazji serii włamań do instytucji finansowych korzystających z systemu SWIFT.
W lutym tego roku serwis „Zaufana Trzecia Strona” poinformował, że niektóre polskie banki zostały zainfekowane złośliwym oprogramowaniem dystrybuowanym przez witrynę Komisji Nadzoru Finansowego. Kilka tygodni później specjaliści z firmy Symantec zasugerowali, że autorami ataku może być Lazarus. Pod koniec marca ta sama firma w artykule „The New York Times” twierdziła, że ma mocne poszlaki wiążące incydenty z Koreą Północną.
3 kwietnia firma Kaspersky Lab opublikowała raport „Lazarus Under the Hood”, szeroko opisujący techniki stosowane przez przestępców kryjących się za tym szyldem. Wśród celów atakowanych przez grupę znalazły się instytucje finansowe w kilkunastu krajach na całym świecie. W dokumencie umieszczono także fragment prezentujący przebieg infekcji w polskim sektorze bankowym. Pierwsze zarażenie miało miejsce 10 stycznia 2017 r., gdy w jednym z banków komputer z przestarzała wersją wtyczki Adobe Flash pobrał złośliwe oprogramowanie serwowane przez witrynę KNF. Ta maszyna zakaziła następnie inne stacje robocze.
Specjaliści z firmy Kaspersky Lab wskazują, że przestępcy dbali o zacieranie śladów. Na jednym z wykorzystywanych przez nich serwerów odkryto jednak logi, które nie zostały usunięte. Wskazują one na połączenia z maszyną mieszczącą się w Korei Północnej. „Kraj ten korzysta z internetu w bardzo niewielkim stopniu, a szanse, że było to przypadkowe połączenie są niezwykle małe” – powiedział „The Wall Street Journal” Witalij Kamluk, ekspert Kaspersky.
Błąd atakujących miał związek z wykorzystaniem cyfrowej waluty Monero. Przestępcy wykorzystywali przejęty serwer do generowania cyfrowego pieniądza. Przeciążenie obliczeniami spowodowało, że maszyna się zawiesiła, a epizod przetrwał plik, który dostarczył badaczom cennych wskazówek.
