Manuel Statik Analiz — Lazarus Group APT (Kuzey Kore DPRK) | Tehdit: KRITIK APT
파일 Kimliği
| SHA256 | 6b33d20196267b0d553030b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 | remotepe_2023-10-17... (Ekim 2023 örnekleme) |
| 크기 | 553.030 byte |
| String Sayisi | 3.089 |
Google Drive Taklidi C2
Sofistike Kamuflaj: Lazarus, "livedrivefiles.com" domainiyle meşru Google Drive gibi görünen bir veri sızdırma C2 altyapısı kullanıyor!
https://livedrivefiles.com/uploads -- "livedrive" = Google Drive + iCloud Drive karışımı taklit -- "/uploads" endpoint = çalınan verilerin yükleme noktası -- Kurumsal güvenlik araçları "drive" içeren domainlere güvenebilir -- İkinci domain: odata.me (.me TLD)
NT API Anti-Debug Zinciri
NtQuerySystemInformation -- Sistem bilgisi sorgulama (sandbox tespiti) NtQueryInformationProcess -- Proses bilgisi (debugger kontrolü) NtSetInformationFile -- Dosya bilgisi manipülasyonu NtCreateUserProcess -- Proses oluşturma (NT native API) NtCreateFile -- Dosya/cihaz açma (x5 referans) -- NT native API kullanımı: Win32 API hook'larını atlatıyor
Lazarus Group Hakkında
Lazarus Group (Hidden Cobra, ZINC, APT38), Kuzey Kore'nin Genel Keşif Bürosu (RGB) kontrolündeki devlet destekli APT grubudur. WannaCry (2017), Sony Pictures saldırısı (2014), Bangladesh Merkez Bankası soygunu ($81M, 2016) ve kripto para hırsızlıkları ile bilinir. SWIFT sistemini hedefleyen saldırılarda uzmanlaşmıştır.
IOC
| SHA256 | 6b33d20196267b0d553030b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | https://livedrivefiles.com/uploads |
| C2 | odata.me |
| Atıf | Lazarus Group / DPRK / Hidden Cobra |
Lazarus — 악성코드 프로필
Lazarus Group DPRK NK APT. Hidden Cobra. WannaCry 2017. SWIFT banker. livedrivefiles.com Drive taklit C2.
악성코드 유형
Backdoor
프로그래밍 언어
C/C++
C2 프로토콜
HTTPS+P2P
대상 시스템
Küresel Finans/Crypto/Devlet
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (2 개 지표)
IOC — Lazarus
# DOMAIN
livedrivefiles.com
# DOMAIN
odata.me
| 유형 | 값 | 메모 |
|---|---|---|
| domain | livedrivefiles.com | |
| domain | odata.me |
C2 서버 (이 패밀리에 대해 2개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| odata.me | domain | 443 | HTTPS | active | — |
| livedrivefiles.com | domain | 443 | HTTPS | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.