Wprowadzenie do problemu / definicja
Grupa Lazarus ponownie zwróciła uwagę analityków bezpieczeństwa, wykorzystując w ukierunkowanych kampaniach złośliwe oprogramowanie RemotePE. To trojan zdalnego dostępu typu memory-only, który działa wyłącznie w pamięci operacyjnej i nie pozostawia klasycznych artefaktów na dysku. Taka charakterystyka znacząco utrudnia wykrywanie incydentu, analizę śledczą oraz szybką ocenę skali kompromitacji.
Nowa kampania koncentruje się na organizacjach z sektora finansowego oraz firmach związanych z rynkiem kryptowalut. To kolejny przykład ewolucji narzędzi wykorzystywanych przez zaawansowane grupy APT do prowadzenia długotrwałych, skrytych operacji przeciwko celom o wysokiej wartości biznesowej.
W skrócie
RemotePE to wieloetapowy zestaw narzędzi używany w kampaniach przypisywanych Lazarus. Łańcuch infekcji obejmuje komponenty DPAPILoader oraz RemotePELoader, które odpowiadają za odszyfrowanie ładunku, komunikację z infrastrukturą dowodzenia i kontroli oraz uruchomienie finalnego RAT-a bez zapisu na dysku.
- atak rozpoczyna się od socjotechniki i podszywania się pod zaufane podmioty,
- malware wykorzystuje etapowe ładowanie komponentów,
- finalny ładunek uruchamiany jest wyłącznie w pamięci,
- RemotePE obsługuje operacje na plikach, procesach i modułach DLL,
- kampania zawiera mechanizmy utrudniające analizę i omijające część telemetrii.
Kontekst / historia
Lazarus od lat pozostaje jedną z najczęściej opisywanych grup APT powiązywanych z operacjami szpiegowskimi, sabotażowymi i finansowo motywowanymi. Jej aktywność regularnie obejmuje instytucje finansowe, giełdy aktywów cyfrowych, projekty DeFi oraz organizacje przetwarzające cenne dane transakcyjne.
Z opublikowanych analiz wynika, że RemotePE był wcześniej łączony z incydentami dotyczącymi środowisk zdecentralizowanych finansów. Najnowsze ustalenia sugerują, że narzędzie było rozwijane przez dłuższy czas, a dostępne próbki wskazują na aktywny rozwój co najmniej od połowy 2023 do połowy 2024 roku. To oznacza inwestowanie w dojrzały, wyspecjalizowany zestaw przeznaczony do długoterminowych operacji przeciwko wyselekcjonowanym ofiarom.
Analiza techniczna
Opisany łańcuch ataku ma charakter wieloetapowy i zaczyna się od socjotechniki. Operatorzy podszywają się pod pracowników firm handlowych lub partnerów biznesowych, wykorzystując fałszywe strony do umawiania spotkań i budowania wiarygodności. Taki model dostępu początkowego pozostaje zgodny z dobrze znanymi taktykami Lazarusa, który łączy precyzyjny rekonesans z ukierunkowanym phishingiem.
Po kompromitacji stacji roboczej uruchamiany jest komponent DPAPILoader, identyfikowany między innymi jako biblioteka DLL. Jego rolą jest odszyfrowanie kolejnego ładunku z użyciem mechanizmu Windows Data Protection API. W praktyce utrudnia to analizę poza środowiskiem ofiary, ponieważ odszyfrowanie danych może być powiązane z konkretnym kontekstem użytkownika lub systemu.
Kolejny etap stanowi RemotePELoader, odpowiedzialny za komunikację z serwerem C2 oraz pobranie właściwego modułu RemotePE. Finalny RAT nie jest klasycznie zapisywany na dysku, lecz wykonywany bezpośrednio w pamięci. To istotnie ogranicza liczbę śladów w systemie plików i zmniejsza skuteczność detekcji opierającej się głównie na artefaktach dyskowych.
Według analizy malware wykorzystuje również techniki utrudniające wykrycie. Wśród nich pojawiają się próby ingerencji w ścieżki związane z telemetrią systemową, w tym Event Tracing for Windows. Tego rodzaju działania mogą ograniczać widoczność aktywności procesu dla narzędzi bezpieczeństwa korzystających z natywnej telemetrii Windows.
Sam RemotePE został opisany jako RAT napisany w C++, który cyklicznie komunikuje się z infrastrukturą C2 i oczekuje na polecenia operatora. Zakres funkcji obejmuje zarówno zarządzanie konfiguracją połączenia, jak i operacje typowe dla pełnoprawnego narzędzia do zdalnej kontroli systemu.
- pobieranie i modyfikacja konfiguracji C2,
- zmiana katalogu roboczego,
- rejestracja, listowanie i wyładowywanie modułów DLL,
- operacje na plikach,
- listowanie procesów oraz uruchamianie i kończenie procesów,
- wstrzymywanie działania malware lub jego zakończenie,
- komunikacja kontrolna typu ping z serwerem.
Na szczególną uwagę zasługuje mechanizm usuwania plików. Zamiast prostego skasowania obiektu malware wielokrotnie nadpisuje jego zawartość stałymi bajtami, następnie zmienia nazwę i dopiero usuwa plik. To wskazuje na świadome utrudnianie odzyskania danych i rekonstrukcji przebiegu incydentu w trakcie analizy powłamaniowej.
Konsekwencje / ryzyko
Największe zagrożenie wynika z połączenia kilku cech operacyjnych: socjotechnicznego wejścia, etapowego ładowania, wykonania wyłącznie w pamięci, niskiej widoczności śledczej oraz precyzyjnego doboru celów. W praktyce organizacja może pozostawać skompromitowana przez dłuższy czas bez jednoznacznych wskaźników w logach lub systemie plików.
Dla sektora finansowego i kryptowalutowego oznacza to ryzyko kradzieży danych, przejęcia dostępu do systemów transakcyjnych, manipulacji procesami operacyjnymi oraz przygotowania gruntu pod eksfiltrację informacji lub kradzież środków. W środowiskach z rozbudowanym dostępem uprzywilejowanym nawet pojedyncza skuteczna kompromitacja stacji roboczej może stać się początkiem znacznie szerszej operacji.
Dodatkowym problemem jest niski profil publiczny tego typu narzędzi. Malware o ograniczonej ekspozycji i niskim wskaźniku detekcji bywa wykorzystywany selektywnie, przeciwko organizacjom posiadającym szczególnie cenne aktywa, dane lub możliwości operacyjne.
Rekomendacje
Skuteczna obrona przed podobnymi kampaniami wymaga równoczesnego wzmacniania warstwy użytkownika, endpointów, sieci oraz mechanizmów detekcji behawioralnej. Same sygnatury plikowe nie są wystarczające wobec zagrożeń klasy memory-only.
- prowadzić szkolenia ukierunkowane na phishing personalizowany i podszywanie się pod partnerów biznesowych,
- weryfikować zaproszenia do spotkań, komunikację przez komunikatory oraz nowe domeny powiązane z organizacją,
- egzekwować potwierdzanie nietypowych próśb drugim kanałem komunikacji,
- monitorować nietypowe ładowanie bibliotek DLL i procesy z podejrzanymi zależnościami,
- analizować zdarzenia wskazujące na deszyfrowanie i uruchamianie ładunków w pamięci,
- wykrywać anomalie związane z użyciem natywnych API, iniekcją kodu i modyfikacją telemetrii,
- rozszerzyć playbooki IR o memory forensics i zbieranie artefaktów z pamięci operacyjnej,
- korelować ruch HTTP i HTTPS do rzadko obserwowanych domen oraz serwerów C2,
- monitorować procesy utrzymujące okresową komunikację beaconingową,
- stosować segmentację środowisk administracyjnych, transakcyjnych i użytkowych,
- minimalizować uprawnienia lokalne i ograniczać dostęp do wrażliwych zasobów,
- wdrożyć odporne na phishing mechanizmy MFA tam, gdzie to możliwe.
Podsumowanie
Kampania wykorzystująca RemotePE potwierdza, że Lazarus nadal rozwija wyspecjalizowane narzędzia do skrytych, długotrwałych operacji przeciwko sektorowi finansowemu i kryptowalutowemu. Kluczowym elementem zagrożenia jest tu model działania wyłącznie w pamięci, który ogranicza liczbę artefaktów i utrudnia tradycyjne wykrywanie.
Połączenie socjotechniki, wieloetapowego ładowania, prób obchodzenia telemetrii oraz funkcjonalności pełnoprawnego RAT-a sprawia, że RemotePE stanowi poważne zagrożenie dla organizacji przetwarzających aktywa i dane o wysokiej wartości. Obrona wymaga nie tylko działań prewencyjnych, lecz także dojrzałej widoczności telemetrycznej, monitorowania pamięci oraz aktywnego threat huntingu.
Źródła
- The Hacker News — Lazarus Deploys RemotePE Memory-Only RAT Against Financial and Crypto Firms — https://thehackernews.com/2026/05/lazarus-deploys-remotepe-memory-only.html
- MITRE ATT&CK — Lazarus Group (G0032) — https://attack.mitre.org/groups/G0032/
- Microsoft Learn — Event Tracing for Windows (ETW) — https://learn.microsoft.com/en-us/windows/win32/etw/event-tracing-portal
- Microsoft Learn — Windows Data Protection API (DPAPI) — https://learn.microsoft.com/en-us/windows/win32/seccrypto/data-protection
