Lazarus s RemotePE-om seli napad s diska u memoriju banaka i kripta

Lazarus Group, sjevernokorejski akter koji se godinama veže uz financijski motivirane kibernetičke operacije, sada se pojavljuje u novom tehničkom kontekstu: RemotePE malwareu namijenjenom financijskim i kripto organizacijama. Prema izvještaju koji je objavio The Hacker News, nalaze je iznio Fox-IT, podružnica NCC Groupa, a posebno je važna kombinacija cross-platform dosega i memorijskog načina rada.

Ovdje nije riječ o još jednoj generičkoj oznaci za RAT. RemotePE je opisan kao dio višefaznog lanca u kojem se spominju dva loadera: DPAPILoader i RemotePELoader. Ta arhitektura govori više od samog imena malwarea. Napadač ne pokušava samo pokrenuti alat na kompromitiranom sustavu, nego kontrolirati ritam isporuke, dešifriranja i aktivacije tako da se najosjetljiviji dijelovi operacije pomaknu iz vidljive datotečne površine u memoriju.

To je posebno neugodno za sektor koji Lazarus ciljano prati: banke, financijske servise, burze digitalne imovine i druge organizacije koje se oslanjaju na brzu obradu transakcija i stalnu dostupnost. Kripto tvrtke pritom imaju dodatni problem. Njihova infrastruktura često spaja klasične poslovne sustave, wallet operacije, automatizirane servise i udaljene administrativne tokove. Takav miks povećava broj mjesta na kojima loader, RAT ili pomoćni alat može proći kao administrativni šum.

Memorijski malware mijenja obrambenu matematiku. Ako se ključna komponenta izvršava bez jasnog, trajnog artefakta na disku, tradicionalni antivirusni tragovi i jednostavna forenzika datoteka postaju manje dovoljni. Obrana se tada mora osloniti na ponašanje procesa, neobične lance pokretanja, anomalije u mrežnim vezama, promjene privilegija i korelaciju događaja kroz vrijeme. To je sporiji i skuplji posao, ali kod Lazarusa je upravo taj sloj često presudan.

Naziv DPAPILoader sugerira fokus na mehanizme dešifriranja i lokalne tajne, no iz dostupnog konteksta ne treba zaključivati više nego što je objavljeno: Fox-IT ga navodi kao dio lanca koji vodi prema RemotePE-u. Bitno je da se lanac ne promatra izolirano. Loaderi su operativni amortizeri. Oni omogućuju napadaču da prilagodi isporuku, sakrije korisni teret, odgodi vidljivu aktivnost i promijeni taktiku ako sigurnosni alat prepozna samo jedan korak.

Za sigurnosne timove zaključak je konkretan: indikator kompromitacije nije dovoljan ako se gleda kao statična lista. Treba loviti slijed. Veza između inicijalnog loadera, memorijske aktivacije, mrežnog ponašanja i pristupa financijski osjetljivim sustavima važnija je od same detekcije jedne datoteke. MITRE ATT&CK profil za Lazarus Group dobro pokazuje zašto se ovaj akter ne smije tretirati kao jednokratna malware kampanja, nego kao operater koji ponavlja ciljeve, ali mijenja tehničku ambalažu.

RemotePE zato vrijedi čitati kao upozorenje o obrambenom dugu u financijskim i kripto okruženjima. Ako se nadzor završava na endpoint potpisima, napadač koji radi u fazama i u memoriji već ima prostor. Ako se povežu telemetrija procesa, identiteti, mreža i pristup kritičnim wallet ili platnim sustavima, Lazarusov lanac postaje vidljiviji prije nego što se pretvori u incident.