Lazarus-hackers gelieerd aan Noord-Korea richten zich met specifieke Linux-malware op IT'ers door middel van een nepvacature. Softwaremakers werden bijvoorbeeld via LinkedIn benaderd met een baanaanbod, waarna er een geïnfecteerd bestand werd opgestuurd.
:fill(white):strip_exif()/i/2005734918.jpeg?f=imagemedium)
De hackers opereren volgens cyberbeveiligingsexperts van ESET onder de noemer Operation DreamJob en gebruiken een ogenschijnlijk .pdf-bestand om malware op het Linux-systeem van slachtoffers te installeren. Het ogenschijnlijke .pdf-bestand, een 64-bit Intel-Linux-binary met de naam HSBC job offer․pdf
, is daarentegen eigenlijk een executable. Hoewel er na het openen een nepvacature op het scherm verschijnt zou er op de achtergrond een payload gedownload worden vanaf OpenDrive. Hiermee wordt vervolgens een SimplexTea-backdoor geïnstalleerd.
Dezelfde beveiligingsonderzoekers concluderen 'met een hoge mate van zekerheid' op basis van de bovenstaande ondervindingen dat de recentelijke cyberaanval op 3CX door dezelfde organisatie werd uitgevoerd. Na een supplychainaanval verspreidde de desktopclient van de voip-dienst malware; Lazarus zou ook hierachter hebben gezeten. De twee voorbeelden onderstrepen volgens ESET hoe gewiekst de Noord-Koreaanse hackers te werk kunnen gaan op verschillende platformen.