朝鲜黑客组织 Lazarus Group 在其欺诈性就业计划中引入了一种名为 LightlessCan 的新型恶意软件变种。

与以前的 Lazarus 恶意软件不同，这种新的恶意软件给检测带来了巨大挑战。

首次检测

ESET高级恶意软件研究员彼得-卡尔奈披露了这些发现在 9 月 29 日的一篇文章中 在分析了对一家西班牙航空航天公司的虚假工作攻击之后。

Lazarus Group'typical approach involves luring victims with entracticing employment offers at reputable companies, tricking them into downloading malicious payloads disguised as documents.拉扎罗斯集团的典型做法是以知名公司的诱人工作机会引诱受害者，诱使他们下载伪装成文档的恶意有效载荷。

此案中的受害者是通过 LinkedIn Messaging 联系的，这是 LinkedIn 职业社交网络平台的一项功能。

作为招聘流程的一部分，他们收到了两个编码挑战，受害者下载并在公司设备上执行了这两个挑战。其中一个挑战是一个显示"Hello, World!"文本的基本项目，另一个挑战是打印斐波那契数列。

ESET Research 与受影响的航空航天公司合作，重建了最初的访问步骤，并对 Lazarus Group'toolset 进行了分析。

无光罐

该恶意软件被 ESET 团队称为"LightlessCan"，与其前身 BlindingCan 相比有了显著改进。

Kálnai 解释说，LightlessCan 可以模仿各种本地 Windows 命令，允许在远程访问木马（RAT）本身内部谨慎执行，减少嘈杂的控制台活动。

此外，新的恶意软件还采用了 "执行保护轨迹"（"execution guardrails"），以确保只有目标受害者的机器才能解密有效载荷。

所有这些都有助于防止安全研究人员进行意外解密。

这种增强的隐蔽性给 EDR 等实时监控解决方案和死后数字取证工具带来了挑战。

拉撒路集团

拉扎罗斯集团又称 HIDDEN COBRA，是一个朝鲜网络间谍组织，其历史至少可以追溯到 2009 年。

值得注意的是，据区块链取证公司 Chainalysis 9 月 14 日报道，自 2016 年以来，朝鲜黑客已从加密货币项目中窃取了约 35 亿美元。

Coinlive 此前曾报道过拉扎罗斯集团（Lazarus Group）如何对加密货币交易所 CoinEx 进行了 5,500 万美元的突袭。

联合国认识到这一集体构成的威胁，并一直积极致力于在国际范围内遏制朝鲜的网络犯罪策略。

联合国认为，被盗资金正在用于支持朝鲜的核导弹计划 .