⁣💻 Lazarus APT: utilizza un exploit in un driver del firmware Dell

Lazarus APT, collegata alla Corea del Nord, è stata avvistata mentre implementava un rootkit di Windows sfruttando un exploit in un driver del firmware Dell.

La scoperta è stata fatta dai ricercatori ESET mentre indagavano sugli attacchi condotti dal gruppo APT contro un dipendente di un'azienda aerospaziale nei Paesi Bassi e un giornalista politico in Belgio.

Gli hacker hanno inviato e-mail di spear-phishing utilizzando documenti malevoli a tema Amazon come esche.

Gli attacchi si distinguono per l'uso di uno strumento che rappresenta il primo abuso registrato della vulnerabilità CVE-2021-21551 nei driver Dell DBUtil, che Dell ha affrontato a maggio 2021.

Gli esperti ESET hanno presentato i loro riusltati alla conferenza Virus Bulletin di quest'anno, mettendo in evidenza l'uso di driver vulnerabili nella catena di attacco, definendo la tecnica come Bring Your Own Vulnerable Driver (BYOVD).

Gli esperti hanno individuato una libreria collegata dinamicamente, nome in codice FudModule.dll, che tenta di disabilitare varie funzionalità di monitoraggio di Windows.

Gli esperti hanno sottolineato che gli aggressori hanno utilizzato lo strumento, in combinazione con la vulnerabilità, per disabilitare il monitoraggio di tutte le soluzioni di sicurezza sui computer compromessi.