Os investigadores da Fox-IT identificaram um novo malware do grupo Lazarus que opera quase exclusivamente na memória dos equipamentos infetados, recorrendo a técnicas avançadas de evasão para dificultar a deteção e análise.
O relatório da Fox‑IT revela que um subgrupo do Lazarus, associado à Coreia do Norte, criou um novo e sofisticado conjunto de ferramentas maliciosas totalmente executadas em memória, substituindo as versões anteriores como ThemeForestRAT e o PondRAT.
Esta nova cadeia de malware, observada em investigações reais de resposta a incidentes, é composta por três componentes principais: DPAPILoader, RemotePELoader e RemotePE, todos eles concebidos para minimizar vestígios forenses e dificultar a deteção pelas soluções de segurança tradicionais.
Não perca nenhuma notícia importante da atualidade de tecnologia e acompanhe tudo em tek.sapo.pt
Os especialistas em cibersegurança afirmam que o ataque começa com o DPAPILoader, um DLL que desencripta e carrega o RemotePELoader a partir do disco usando o Windows DPAPI. Esta técnica garante que o payload só pode ser decifrado no ambiente da vítima, impedindo que amostras capturadas sejam analisadas fora do sistema comprometido.
Para se camuflar, o loader adota nomes de ficheiros semelhantes aos de serviços legítimos do Windows, como Iassvc.dll, reforçando a sua capacidade de evasão. O uso de DPAPI também assegura que cada vítima recebe um “blob” encriptado único, tornando inútil a deteção baseada em impressão digital.
Depois de desencriptado, o RemotePELoader estabelece comunicação com o servidor de comando e controlo, ficando a aguardar instruções do operador. Antes de executar qualquer ação, aplica técnicas avançadas de evasão, incluindo a utilização de chamadas de sistema diretas através de HellsGate/TartarusGate para contornar ligações de EDRs, e a atualização da função EtwEventWrite() para neutralizar a telemetria baseada em ETW.
Este loader lê ainda um ficheiro de configuração encriptado com DPAPI e só prossegue quando o operador humano envia o payload final, confirmando que o Lazarus mantém um modelo de operação manual e altamente direcionado, afirma o relatório.
Por fim, o RemotePE é um RAT (ou Trojan de Acesso Remoto, em português) completo e executado exclusivamente em memória, replicando a mesma lógica de comunicação do loader intermédio.
Suporta múltiplas categorias de comandos, incluindo execução remota, manipulação de ficheiros, gestão de processos e carregamento dinâmico de plugins convertidos em shellcode. A ferramenta inclui ainda um mecanismo de eliminação segura de ficheiros com sete passagens de sobrescrita.
Esta técnica já foi observada em ataques de malware anteriores do Lazarus, como o PondRAT e POOLRAT. A Fox‑IT identificou seis sessões de entrega bem-sucedida deste payload, todas ocorridas durante o horário comercial do fuso UTC+9, alinhado com a Coreia do Norte, reforçando dessa forma a responsabilidade do ataque.
A empresa diz que a infraestrutura de comando e controlo utilizada pelo grupo está alojada em serviços de hosting partilhado da Namecheap, uma estratégia que dificulta o bloqueio de IPs, já que servidores partilhados hospedam simultaneamente domínios legítimos e maliciosos. A Fox‑IT identificou vários domínios associados ao Lazarus, incluindo msdeliverycontent[.]com, intelcloudinsights[.]com e akamaicloud[.]com.
O relatório conclui que este novo kit de ferramentas maliciosas representa um esforço para reduzir ao mínimo qualquer pegada forense, combinando encriptação ligada ao ambiente da vítima, execução em memória, evasão avançada de EDR e ETW, e controlo manual por operadores experientes. O objetivo é manter o acesso furtivo e prolongado a alvos de alto valor, especialmente no sector financeiro e das criptomoedas.
Assine a newsletter do TEK Notícias e receba todos os dias as principais notícias de tecnologia na sua caixa de correio.