Maui 勒索软件或与朝鲜 Andariel APT 有关

Hackernews 编译，转载请注明出处：

卡巴斯基的网络安全研究人员将Maui勒索软件与朝鲜支持的Andariel APT组织联系起来，后者被认为是Lazarus APT集团的一个部门。

朝鲜民族国家黑客使用Maui勒索软件对提供医疗服务的服务器进行加密，包括电子健康记录服务、诊断服务、成像服务和内联网服务。

卡巴斯基专家注意到，在将Maui勒索软件部署到初始目标系统前约10小时，黑客在3个月前向目标部署了一种著名的DTrack恶意软件变体。这两种恶意代码都被认为是Andariel武器库的一部分。并且，用于攻击日本、俄罗斯、印度和越南公司的DTrack变体与Andariel APT网络间谍活动中使用的样本代码相似度为84%。

Andariel APT（又名Stonefly）自2015年来一直很活跃，它参与了几次朝鲜政府发起的攻击事件。

根据这次攻击的操作方式，我们得出结论，Maui勒索软件事件背后的黑客TTP与过去Andariel/Stonefly/Silent Chollima的活动非常相似:

1. 在初始感染后使用合法的代理和隧道工具或部署它们以保持访问，并使用Powershell脚本和Bitsadmin下载其他恶意软件;
2. 利用漏洞来攻击已知但未修补的脆弱公共服务，如WebLogic和HFS;
3. 专门部署DTrack，也称为Preft;
4. 在活动之前，目标网络内的停留时间可以持续数月；
5. 在全球范围内部署勒索软件，显示持续的经济动机和利益规模。

2020年4月，美国国务院、财政部、国土安全部和联邦调查局发布了一份联合咨询意见，警告世界各地的组织注意朝鲜民族国家黑客对全球银行和金融机构构成的“重大网络威胁”。

当时，美国政府还向任何能够提供“与朝鲜有关的APT组织所开展活动的信息”的人提供高达500万美元的奖金，当局还将为过去黑客活动的信息付费。

今年7月，美国国务院将奖励增加到1000万美元。

掌握与朝鲜相关的APT团体（如Andariel、APT38、Bluenoroff、Guardians of Peace，Kimsuky或Lazarus集团）相关的任何个人信息，以及违反计算机欺诈和滥用法并参与针对美国关键基础设施的人，可以获得奖励。

消息来源：securityaffairs，译者：Shirley；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc ” 并附上原文