Lazarus-Gruppe nutzt RemotePE gegen Finanzsektor
Cybersecurity-Forscher haben Details zur Cross-Platform-Malware RemotePE veröffentlicht, die von der nordkorea-verknüpften Lazarus-Gruppe gegen Finanz- und Kryptowährungsunternehmen eingesetzt wird. Die Entdeckung stammt von Fox-IT, einer Tochtergesellschaft von NCC Group.
Mehrstufige Angriffskette
RemotePE ist Teil einer ausgefeilten Angriffskette, die zwei spezialisierte Loader nutzt: DPAPILoader und RemotePELoader. Der DPAPILoader ist dabei für die Entschlüsselung und das Laden weiterer Malware-Komponenten zuständig. Dieses Vorgehen ermöglicht es den Angreifern, ihre Aktivitäten zu verschleiern und die Detection zu erschweren.
Als Memory-Only RAT (Remote Access Trojan) hinterlässt RemotePE keine persistenten Dateien auf dem befallenen System. Das macht die Forensik deutlich aufwändiger und erhöht die Chancen, Detektionssysteme zu umgehen. Die Malware operiert vollständig im RAM des Opfers.
Zielgruppe und Bedrohungslage
Die Fokussierung auf Finanz- und Kryptoinstitutionen unterstreicht das finanzielle Motiv hinter den Lazarus-Kampagnen. Die Gruppe ist bekannt für hochgezielte Operationen gegen wohlhabende Ziele mit großer Sorgfalt bei der Operationssicherheit. RemotePE fügt sich in dieses Muster ein und zeigt eine technische Reife bei der Malware-Entwicklung.
Technische Implikationen
Die Nutzung von DPAPI (Data Protection API) zur Verschlüsselung deutet auf Windows-fokussierte Angriffe hin. Die mehrstufige Struktur erschwert die Attribution und ermöglicht es, einzelne Komponenten zu updaten, ohne die gesamte Angriffskette neu zu deployen.
Für Unternehmen im Finanz- und Crypto-Sektor bedeutet dies erhöhte Aufmerksamkeit für verdächtige Prozesse im RAM sowie verbesserte Netzwerk-Monitoring-Maßnahmen. Memory-Forensik und Behavior-Detection sind essenzielle Abwehrmaßnahmen gegen solche Bedrohungen.