趋势科技发现，曾经攻击过亚洲和拉丁美洲金融机构的网络犯罪组织Lazarus分支Bluenoroff最近似乎再度活跃，他们近期的一系列活动展示了其攻击工具和技术的演变，上周他们从亚洲和非洲的ATM机中非法窃取了数百万美元。此外，研究人员还观察到他们成功将后门（趋势科技检测为BKDR_BINLODR.ZNFJ-A）植入了拉丁美洲几家金融机构。

研究人员经过跟踪分析后，根据加载器组件的服务创建时间确定，目标设备被安装后门的具体时间为2018年9月19日。这种攻击技术与BAE Systems分析的2017年Lazarus攻击与亚洲目标有相似之处。FileTokenBroker.dll的使用是2017年该组织攻击的关键部分，他们似乎也在最近的事件中使用了相同的模块化后门。

 

表1：两个事件的相似之处

 

2018年使用的后门程序分析

Lazarus集团在2018年的攻击中使用了一系列后门，三个主要组成部分采用了一项复杂技术：

• dll / ROptimizer.dll（由趋势科技检测为BKDR_BINLODR.ZNFJ-A） - 作为服务启动的加载程序DLL
• Msadoz < n> .dll（由趋势科技检测为ZNFJ-A） - 加密后门
  n =加载程序dll文件名中的字符数
• dll.mui / rOptimizer.dll.mui（趋势科技检测为TROJ_BINLODRCONF.ZNFJ-A） - 加密配置文件

 

模块化后门的加载顺序

加载程序DLL作为服务安装，并在不同的计算机上使用不同的名称（AuditCred和ROptimizer）。但是，它们仍然具有相同的功能，并且基本上是相同的文件。其目的是加载Msadoz <n> .dll以便在内存中解密并执行它。

 

AuditCred / ROptimizer服务

如果成功安装，这个特殊的后门对其目标构成了相当大的威胁。它具有以下功能：

• 收集文件/文件夹/驱动器信息
• 下载文件和其他恶意软件
• 启动/终止/枚举进程
• 更新配置数据
• 删除文件
• 将文件中的代码注入其他正在运行的进程
• 利用代理
• 打开反向shell
• 以被动模式运行——后门将打开并侦听端口，然后通过它接收命令，而非主动连接到命令和控制（C＆C）服务器

一旦后门被加载，它将加载加密的配置文件Auditcred.dll.mui/rOptimizer.dll.mui以提取C＆C信息并连接到它。这些行为可能对目标造成极大的破坏。

需要注意的是，虽然加载程序组件和配置文件位于相同的目录(%windows%\system32)，但是加密的后门位于不同的目录(%Program Files%\Common Files\System\ado)。这种复杂的设置使得检测和删除所有后门变得更加困难，并且在隐藏一切活动方面则更加有效。这些后门的复杂性和功能为目标组织提出了一个难题。这是一种复杂的攻击，同样需要复杂的安全解决方案。

专家建议企业等组织应定期扫描排查网络中的异常活动，同时加强对员工和组织中的其他关键人员进行社会工程技术相关培训，实施加固网络端点和使用应用程序控制等防御性措施阻止恶意软件的安装和启动。