朝鲜黑客肆虐全球：从赌场到银行无一幸免

2016 年 2 月，孟加拉国央行陷入一片混乱，计算机系统惨遭黑客入侵、千万美元不翼而飞。时隔一年有余，证明朝鲜与该事件联系紧密的相关证据数量仍不断攀升。这起黑客事件曾被认为是全球范围内已知的最大规模金融网络犯罪。直至目前， 犯罪人员身份仍为不解之谜。

配图源自网络

自去年以来，关于此案的松散追踪就从未停止，调查结果显示，一个与朝鲜方面存在关联、代号为“拉撒路”（Lazarus）的黑客组织难逃干系，但据本月 3 日最新证据显示该组织开展的活动范围远超过之前预期。

卡巴斯基安全实验室认为，Lazarus 旗下代号为 Bluenoroff 的黑客组织专门从事金融犯罪，攻击目标遍及全球十余个国家的银行、赌场、加密货币公司。卡巴斯基实验室全球研究与分析团队在一篇博文中阐述：“Lazarus 的影响远非一般 APT（高级持续性威胁，用于描述掌握广泛资源的黑客组织、通常与政府或情报机构相关联）组织所能及”。

根据卡巴斯基调查报告内容，此黑客组织采用“水坑攻击”技术（通过恶意软件感染目标访问网站）向俄罗斯、挪威、墨西哥、乌拉圭、澳大利亚、印度、波兰、秘鲁、尼日利亚等国发起攻击。

问题焦点

卡巴斯基表示，迄今已在 18 个国家发现该组织的行踪，其中包括今年发生在欧洲与东南亚国家的一些尚未报道的黑客行为，并发布了一份根据一台命令与控制（C&C）服务器进行的分析报告。据称，这台 C&C 服务器透露了一个源自朝鲜的特殊 IP 地址。

图2. 被 Lazarus 设定为攻击目标的已知金融机构地理分布

研究结果表明，未能对无响应、被冻结的现成加密货币挖掘软件进行适当清理导致了服务器更易遭到黑客入侵。但无论如何，该 IP 地址的存在都使朝鲜成为问题的焦点。平壤方面是否与这一系列网络攻击行动有直接关系仍有待探索。通常，此类攻击都被认为源自中国。尽管如此，发生在 2014 年的索尼影业遭到大规模攻击事件已暗示了 Lazarus 以及朝鲜独裁政权具有此方面嫌疑。

网络破坏与硬盘擦除作为索尼被黑事件的两大特点与近期发生的金融犯罪不谋而合。多家网络安全公司均表示该组织已活跃多年（大概可追溯至 2009 年），但卡巴斯基认为将目标设定为银行的做法此前较少出现。一种假设是该黑客组织被迫转向此类型攻击是为了获得经济上的资助。该项计划的真实范围仍不清楚，但造成的影响显而易见。相关样本表明其拥有一个“恶意软件工厂”，提供从多种来源获取的黑客工具。

研究人员表示，“ Lazarus 攻击并非地方性问题，显然该组织的作战范围已遍及全球各地，疑似不同成员在网络窃取钱财或获得非法利润问题上具有不同分工。”

“我们认为该组织的最初行动始于 2016 年底，继东南亚地区开展的其他行动中断后进行重新分组并转战至新的国家，选取目标主要为贫穷、较不发达地区，因为这些目标显然更容易得手。

“难以察觉的偷窃行为”

据报道，为了寻找偷窃巨款的途径，Lazarus/Bluenoroff 在“分解”合法软件与补丁方面花费了大量时间。尽管如此，所采用恶意软件的设计初衷并非遵循“打了就跑”模式。“他们的解决方案旨在实现不留痕迹的偷窃”，研究人员表示。

“当然，想把上千万美元巨款挪走又不被发几乎不大可能，但我们认为他们可能正在许多不同地点对恶意软件进行秘密开发，由于行动隐蔽，尚未触发其他任何严重的警报。

“Bluenoroff堪称迄今面向金融产业成功发动大规模攻击的黑客组织之一。我们认为在未来的几年内，他们仍将是银行部门、金融与贸易公司以及赌场面临的巨大威胁。”

证据数量不断攀升

然而，关于此类事件的最新消息并非源自 Lazarus。事实上，赛门铁克曾于今年 2 月在一些黑客与某波兰金融机构之间存在可疑的关联。据称，位于 31 个不同国家的 100 多个组织机构被设定为攻击目标。分析报告透露这款此前未发现的恶意软件名为 Ratankba，疑似与该朝鲜黑客组织之间存在“共性”。除了惊人相似的硬盘擦除能力外还同样采用“进攻+破坏”策略。

此外，BAE Systems Intelleigence & Security 称英国至少 7 家银行曾遭受Lazarus 恶意软件攻击。美国新增 15 起被袭击事件、波兰新增 19 起、墨西哥新增 9 起。该公司强调在卡巴斯基开展此类研究前这些事件之间存在的真实关联始终模糊难辨。

早在 2016 年 2 月，全球执法与安全巨头合作伙伴关系揭露了“重磅炸弹行动”（Operation Blockbuster），介绍了名为 Destover 的 Lazarus 相关恶意软件如何在引导FBI得出朝鲜与该行动联系密切这一结论的过程中发挥作用。

报告称，Lazarus 组织开发了广泛而多样化的工具集，可以有效结合多种方法提供其他恶意软件工具、渗出数据、发动破坏性攻击。

原作者：Jason Murdock， 译者：游弋，审核校对：狐狸酱

本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc ” 并附上原文链接。