Lazarus Grup

Lazarus ilk erişimi elde etmek için sıklıklaphishing kampanyalarını kullanmakta ve genellikle özel malware adresini sunan kötü amaçlı ekler veya bağlantılar kullanmaktadır.

Erişim sağladıktan sonra, ayrıcalıkları yükseltmek ve ağlarda daha derine inmek için rootkit veya özel malware gibi araçlar kullanırlar.

Grup, güvenlik yazılımını devre dışı bırakmak, çalıntı sertifikalardan yararlanmak veya sıfırıncı gün açıklarından yararlanmak gibi teknikler kullanarak güvenlik önlemlerinden kaçmakta ustadır.

Lazarus, genellikle yüksek ayrıcalıklı hesapları hedef alarak kullanıcı kimlik bilgilerini toplamak için tuş kaydediciler, kimlik bilgisi boşaltma araçları ve istismarlar kullanır.

Bir sisteme girdiklerinde, yerleşik komutları ve PowerShell gibi araçları kullanarak kritik sistemleri ve veri havuzlarını belirlemek için ağ keşfi yaparlar.

Lazarus, geçerli kimlik bilgileri, uzak masaüstü protokolleri (RDP) kullanarak veya sistemler arasındaki güven ilişkilerinden yararlanarak ağlar arasında yanal olarak hareket eder.

Hassas veriler genellikle dosya paylaşım hizmetleri veya malware gibi özel sızma özelliklerine sahip araçlar aracılığıyla toplanır ve finansal veriler, kripto para cüzdanları ve gizli belgeler hedeflenir.

Grup, komutları uzaktan çalıştırmak ve kalıcılığı sağlamak için Manuscrypt ve Destover gibi özel arka kapılar kullanıyor.

Çalınan veriler, tehlikeye atılmış web sunucuları, FTP sunucuları veya şifrelenmiş iletişim kanalları kullanılarak dışarı sızdırılır ve böylece bilgilerin komuta ve kontrol altyapısına ulaşması sağlanır.

Finansal operasyonlarda, Lazarus genellikle hırsızlık sonrası sistemleri bozar ve izlerini örtmek için silecek malware kullanır. Fidye yazılımı kampanyalarına ve veri imhasına karışarak kurbanları üzerindeki etkiyi daha da artırmışlardır.