Medusa lunavara rünnakukampaania

Põhja-Koreaga seotud ohurühmitus Lazarus Group, keda jälgitakse ka nimede Diamond Sleet ja Pompilus all, on täheldatud kasutamast Medusa lunavara rünnakus nimetu organisatsiooni vastu Lähis-Idas. Turvauurijad tuvastasid ka samade isikute ebaõnnestunud sissetungikatse, mis oli suunatud tervishoiuorganisatsioonile Ameerika Ühendriikides.

Medusa tegutseb lunavara-teenusena (RaaS) mudeli alusel ja selle käivitas 2023. aastal küberkuritegevuse rühmitus Spearwing. Alates selle tekkimisest on see operatsioon võtnud vastutuse enam kui 366 rünnaku eest. Medusa lekkeportaali ülevaade näitab, et alates 2025. aasta novembrist oli ohvritena loetletud neli USA-s asuvat tervishoiu- ja mittetulundusühingut. Nende hulgas olid vaimse tervise mittetulundusühing ja autistlikke lapsi teenindav haridusasutus. Jääb selgusetuks, kas kõik intsidendid omistati otseselt Põhja-Korea agentidele või olid sissetungide eest vastutavad teised Medusa sidusettevõtted. Sel perioodil oli keskmine lunarahanõue ligikaudu 260 000 dollarit.

Lunavara evolutsiooni muster Põhja-Korea operatsioonides

Põhja-Korea küberüksuste lunavara kasutamine on hästi teada. Juba 2021. aastal korraldas Lazaruse alamklaster Andariel (tuntud ka kui Stonefly) rünnakuid Lõuna-Koreas, Jaapanis ja Ameerika Ühendriikides, kasutades patenteeritud lunavaraperekondi nagu SHATTEREDGLASS, Maui ja H0lyGh0st.

2024. aasta oktoobris seostati gruppi Play lunavara juurutamisega, mis andis märku strateegilisest pöördepunktist kaubanduslikult saadaval oleva lunavara kasutamise suunas, selle asemel et loota ainult kohandatud pakettidele.

See üleminek ei ole ainuüksi Andarielile omane. Teine Põhja-Korea ohutegija, Moonstone Sleet, keda varem seostati kohandatud FakePenny lunavaraga, teatas, et sihib Qilini lunavara abil Lõuna-Korea finantsasutusi. Kokkuvõttes viitavad need arengud laiemale taktikalisele kohanemisele, kus Põhja-Korea operaatorid tegutsevad üha enam väljakujunenud RaaS-ökosüsteemide sidusettevõtetena, selle asemel et säilitada täielikult omandiõigusega lunavara tööriistakette.

Medusa kampaaniat toetav operatiivvahendite komplekt

Lazarusele omistatud Medusaga seotud tegevus hõlmab nii spetsiaalselt väljatöötatud pahavara kui ka avalikult kättesaadavaid pahavarautiliite. Täheldatud tööriistad hõlmavad järgmist:

• RP_Proxy, patenteeritud puhverserveri utiliit.
• Mimikatz, volituste dumpingu tööriist, mida kasutatakse laialdaselt ekspluateerimise järgses tegevuses.
• Comebacker, Lazaruse eksklusiivne tagauks.
• InfoHook, infovaras, mida varem seostati Comebackeri juurutustega.
• BLINDINGCAN (tuntud ka kui AIRDRY või ZetaNile), kaugjuurdepääsuga trooja.

• ChromeStealer, utiliit, mis on loodud salvestatud mandaatide hankimiseks Chrome'i brauserist.

Kuigi väljapressimistaktika meenutab varasemaid Andarieli operatsioone, pole praegust tegevust lõplikult seostatud konkreetse Lazaruse alamrühmaga.

Strateegilised tagajärjed: pragmatism patenteeritud arenduse asemel

Selliste lunavaravariantide nagu Medusa ja Qilin kasutuselevõtt peegeldab operatiivset pragmaatilisust. Kohandatud lunavaraperekondade arendamine ja hooldamine nõuab märkimisväärseid ressursse, testimist ja infrastruktuuri. Väljakujunenud RaaS-platvormide kasutamine annab kohese juurdepääsu küpsetele krüpteerimisvõimalustele, operatiivtoele ja tõestatud monetiseerimismehhanismidele. Partneritasude struktuure võib pidada mõistlikuks kompromissiks, kui võrrelda neid arendus- ja hoolduskuludega.

Püsiv ja ohjeldamatu sihtimine

Nihe tavaliste lunavaraprogrammide poole rõhutab veelgi Põhja-Korea püsivat osalemist rahaliselt motiveeritud küberkuritegevuses. Sihtmärkide valiku mustrid näitavad minimaalset piirangut, kusjuures Ameerika Ühendriikide organisatsioonid, sealhulgas tervishoiuasutused, kuuluvad rünnaku alla. Kuigi mõned kuritegelikud rühmitused väidavad avalikult, et väldivad tervishoiuasutuste sihtmärke, et leevendada mainekahju, ei paista Lazarusega seotud operatsioonides sarnaseid piiranguid ilmnevat.