Новая группа Holy Ghost: связь с Lazarus и Ким Чен Ыном

[Artifact]

Вымогатели используют инструменты Lazarus и требуют небольшие суммы от жертв

Уже более года северокорейские хакеры проводят вымогательскую кампанию HolyGhost, атакуя малый бизнес в разных странах. Исследователи Microsoft Threat Intelligence Center (MSTIC) отслеживают группировку Holy Ghost как DEV-0530. Согласно отчету, первая атака группы была замечена в июне 2021 года.
В октябре 2021 Microsoft обнаружила новые варианты программы под названием SiennaBlue (HolyRS.exe, HolyLocker.exe и BTLC.exe) и отметила, что функции программы включают несколько вариантов шифрования, обфускацию строк, управление открытыми ключами и поддержку Интернета/Интранета.
DEV-0530 атаковали несколько целей, в основном малый и средний бизнес. Среди жертв были банки, школы, производственные организации и компании по планированию мероприятий и встреч.
«MSTIC подозревает, что группа DEV-0530 могла использовать уязвимость CVE-2022-26352 (RCE-уязвимость в dotCMS) в общедоступных веб-приложениях и CMS, чтобы получить первоначальный доступ к целевым сетям», — заявила Microsoft Threat Intelligence Center.
Участники Holy Ghost следовали стандартной схеме вымогательской атаки и похищали данные до того, как зашифруют их. Злоумышленник оставлял записку с требованием выкупа на взломанной машине, а также отправлял жертве по электронной почте ссылку на образец украденных данных, чтобы объявить, что он готов договориться о выкупе в обмен на ключ дешифрования.

Обычно группа требовала небольшой выкуп от 1,2 до 5 BTC или до $100 000. По словам MSTIC, даже если сумма выкупа была небольшой, злоумышленник был готов вести переговоры и иногда снижал цену до менее 30%.
Редкость атак и случайный выбор жертв дополняют предположения экспертов о том, что Holy Ghost не следует интересам правительства Северной Кореи. Возможно, хакеры работают на режим Пхеньяна по собственной инициативе для личной финансовой выгоды. Однако, связь Holy Ghost с правительственными хакерами всё-таки присутствует, поскольку MSTIC обнаружил связь между учетными записями электронной почты, принадлежащими Holy Ghost и Andariel, участнику известной северокорейской группировки Lazarus .
Обе группы «действовали с одной и той же инфраструктурой и даже использовали специальные контроллеры вредоносных программ с похожими именами», — сказали исследователи.
Веб-сайт Holy Ghost в данный момент недоступен, но группа пользуется малой известностью и выдает себя за законную ИБ-компанию, пытаясь помочь жертвам повысить уровень безопасности. Кроме того, они мотивируют свои действия стремлением «сократить разрыв между богатыми и бедными» и «помочь бедным и голодающим».

Как и другие вымогатели, Holy Ghost заверяет жертв, что они не будут продавать или раскрывать украденные данные при уплате выкупа. Отчет Microsoft также содержит рекомендации для предотвращения атаки Holy Ghost и некоторые индикаторы компрометации, обнаруженные при исследовании вредоносного ПО.