Speicher als Waffe: Lazarus und die neue Domäne von finanziellen Angriffen, die keine Spur auf Festplatte hinterlassen

Die von Fox-IT auf RemotePE veröffentlichte Forschung, ein Remote Access Trojaner (RAT), der von der Lazarus-Gruppe verwendet wird, bestätigt einen kritischen Trend in Cyber-Dreat zu Finanzen und Kryptomonedas: zunehmend konstruierte Angriffe, um im Speicher zu bleiben und zu vermeiden, dass Festplattenfußabdruck. Obwohl die Ausführung im Speicher nicht neu ist, die Kombination von Kettenladern, die Verwendung von DPAPI zur Entschlüsselung von Nutzlasten und Evasionstechniken wie Hell's Gate und ETW's Patching zeigen bewusste Entwicklung ausgerichtet auf langfristige Rückverfolgbarkeit.

RemotePE funktioniert nicht allein: Es ist Teil einer Reihe von Werkzeugen, bei denen DPAPILOader den Prozess durch Entschlüsselung und Laden von RemotePELoader initiiert, der wiederum RemotePE nur im Speicher herunterlädt und ausführt. Dieses Design reduziert die forensischen Beweise in der Festplatte erheblich und zwingt die Verteidigung, sich auf Speicher, Prozesstelemetrie und Netzwerkverkehr zu konzentrieren.

Für Finanz- und Kryptomoneda-Organisationen ist die praktische Beteiligung doppelt. Zum einen betont das Vorhandensein einer Intrusionskette, in der der Schauspieler mit dem Opfer interagiert (Sozialtechnik via Telegram und falsche Calendly / Picktime-Domains), dass die technische Sicherheit durch menschliche Kontrollen und überprüfbare Prozesse für Treffen, Onboarding und Zugriffsanfragen ergänzt werden muss. Andererseits erhöht die Fähigkeit, einen langfristigen unentdeckten Zugriff aufrechtzuerhalten, das Risiko von hocheffizienten Endoperationen wie Finanzbetrug, Schlüsselentfernung oder Entleerung von kryptoaktiven Gewölben.

Aus technischer Sicht gibt es bestimmte Zeichen zu überwachen: Missbrauch von DPAPI, um Nutzlasten zu speichern oder wiederherzustellen, ausgehende Verbindungen zu verdächtigen Domänen wie "aes-secure [.] net", Modifikationen in Windows-Event-Instrumente (ETW) und fortgeschrittene Hell's Gate-Techniken. Wirksame Erkennung erfordert korrelierte Endpunkte-Telemetrie, Netzwerk-Aufzeichnungen und Speicher-Fangs, bevor der Schauspieler hohe Aufprallaktionen durchführt.

Wie für Malware-Funktionen, RemotePE implementiert Befehle für Dateimanagement, DLL-Handling in Speicher, Prozesssteuerung, Persistenz im Arbeitsverzeichnis und eine Löschauftrag, die Dateien wiederholt überschreiben, bevor sie gelöscht werden. Dieses Eliminationsmuster, auch in PondRAT und POOLRAT zu sehen, schlägt vor, die forensische Analyse nach der Exfiltrationsphase zu frustrieren oder wenn die Operation endet.

Für Verteidiger und Antwortteams sollten die operativen Prioritäten die Instrumentierung des Gedächtnisses von Endpunkten, die Blockierung bekannter Exfiltrationskanäle und die Fähigkeit, schnelle Speicherablagerungen zu erwerben, umfassen. Tools wie Volatilitäts- und Memory-Analyse-Rahmen werden entscheidend, um Artefakte zu identifizieren, die nie auf der Festplatte(mehr Informationen zu Volatilitätsstiftung)

Es wird auch empfohlen, die Erkennungsregeln mit Leistungsindikatoren zu bereichern: Prozesse, die unbekannte Module im Speicher laden, Prozesse, die atypische Anrufe zu DPAPI, Anomalien bei der Verwendung von ETW und Kommunikationsmustern zu Befehls- und Steuerungsservern machen. Durchführende Endpunkte-Telemetrie mit eBPF-Überwachungs- oder Speichermitteln können einen Unterschied gegen Speicherausführungstechniken machen.

Die Antwort auf eine verdächtige RemotePE-Infektion sollte die Eindämmung und Erhaltung von Beweisen im Speicher priorisieren: den Host isolieren, Speicher drehen und Netzwerkverkehr sammeln, identifizierte IP-Domains und -Adressen blockieren und Anmeldeinformationen und Schlüssel drehen, die möglicherweise beeinträchtigt wurden. Späte Erkennung erfordert Verpflichtung von Konten und Anmeldeinformationen; daher sind Rotation und Integritätsprüfung wesentliche Schritte.

Auf organisatorischer Ebene verstärkt dieser Fall die Notwendigkeit, vertiefte Verteidigungsmodelle zu übernehmen: starke Multifaktor-Authentifizierung, wenig privilegierte Politiken, Netzwerksegmentierung für kritische Infrastruktur und starre Prozesse zur Akzeptanz externer Treffen oder Zugriffsanfragen. Wiederkehrende Schulungen in der spezifischen Sozialtechnik für populäre Kanäle zwischen dem kritischen Sektor, wie Telegram, müssen Teil eines Sensibilisierungsprogramms sein.

Schließlich ist das Verständnis der Gegner: Lazarus hat einen hartnäckigen Ansatz für Finanz- und Kryptomoneda-Ziele gezeigt. Bedrohungsintelligente Ressourcen wie die technischen Datenblätter des MITRE ermöglichen es, bekannte Gruppentaktiken und -techniken zu kontextualisieren und die Verteidigung entsprechend anzupassen (siehe Profil in MITRE ATT & CK - Lazarus) Die Weitergabe von Informationen mit Branchenkollegen und Sicherheitsanbietern beschleunigt auch die Identifizierung gezielter Kampagnen und die Blockierung schädlicher Infrastrukturen.

Die wichtigste Lektion für gefährdete Organisationen ist klar: das Alter der Malware, die keine Spur auf der Festplatte lässt erfordert Sichtbarkeit über Speicher, schnelle Reaktion und menschliche Kontrollen, die den ersten Zugriff verhindern. Ohne diese Elemente können selbst anscheinend robuste Verteidigungen die Umgebung sein, in der Akteure mit Ressourcen stille Operationen halten, bis sie einen hohen Schlag ausführen.