Loading malware…
NukeSped is a remote access trojan and backdoor family associated with the North Korean Lazarus Group and its Andariel-linked operations. The name is also used by antivirus vendors to classify a broad range of Lazarus malware, so individual variants differ substantially in architecture and functionality. Identified variants include Windows and macOS malware, with Android samples also classified under the NukeSped detection name. Documented deployments have targeted South Korean public institutions, universities, and organizations in logistics, information technology, manufacturing, telecommunications, and semiconductor production.
NukeSped provides attacker-controlled command execution, file management and transfer, additional payload downloading, process termination, and host reconnaissance. More capable variants support keylogging, screenshot capture, data exfiltration, SOCKS tunneling, and port forwarding. Some Windows variants inject code into legitimate processes, load payloads directly into memory, or operate through service-based deployment chains.
Infection chains include phishing and spearphishing attachments containing malicious Word macros, as well as watering-hole attacks exploiting vulnerable software. Macro-based chains can reconstruct executable content from embedded images and abuse Windows management and scripting utilities to launch intermediate loaders. NukeSped has also been deployed following Log4Shell exploitation of unpatched VMware Horizon servers.
Command-and-control implementations vary between custom raw TCP protocols and HTTP-based exchanges. Variants use encrypted strings, dynamic API resolution, and RC4, DES, or XOR-based protection. Some disguise command traffic and results as ordinary web requests. Defense-evasion features include encrypted packing, anti-debugging and sandbox checks, in-memory execution, and self-deletion; certain variants remove themselves when command-and-control communication fails.
2 CVEs Mallory has correlated with this family across public research and vendor advisories. Each card links to the full Mallory page for that vulnerability.
4 distinct threat actors Mallory has associated with this family across public reporting. Open in Mallory to see the full evidence chain and overlapping campaigns.
Although there were no direct logs showing that NukeSped was installed through exploitation of the CVE-2023-46604 vulnerability, there is a possibility that the Andariel group exploited CVE-2023-46604 vulnerability for the attack.
Although there were no direct logs showing that NukeSped was installed through exploitation of the CVE-2023-46604 vulnerability, there is a possibility that the Andariel group exploited CVE-2023-46604 vulnerability for the attack.
`dropper.vb_s` (named as we obtained it), 497-line VBScript implant classified as Trojan.NukeSped, a known Lazarus Group malware family.
Over the last 15 years, the group has developed RATs, including the following... ▪ NukeSped
37 distinct techniques documented for this family, organized by ATT&CK tactic.
KISA 보고서 '타겟형 워터링홀 공격전략 분석'에 따르면 공격자는 타겟형 워터링홀 공격을 이용하였으며, 대상 기관이 사용 중인 소프트웨어의 취약점을 이용해 다운로더 악성코드를 설치하였다고 한다.
“NukeSped” Malware is distributed through phishing or spear phishing emails having malicious attachments.
현재까지 확인된 초기 침투 방식은 크게 2가지이다. 하나는 문서 파일 포맷의 악성코드를 첨부하는 형태의 타겟형 악성 메일을 이용한 방식이며... 2021년 4월 다수의 워드 문서 파일 악성코드들이 수집되었다.
NukeSped에서는 지속성 유지를 위한 기능이 존재하지 않기 때문에 직접 커맨드 라인 명령을 이용해 작업 스케줄러에 등록시키는 명령들도 확인된다.
The threat actor runs a power-shell script to exploit the Log4j vulnerability and installs the NukeSped on the victim machine.
The first payload is used to run the command prompt to execute file “edg89C0.bat” and finally drop and execute the 2nd stage payload.
매크로 실행 시 악성 행위가 시작됨과 동시에 정상 문서 내용을 출력한다... 악성 매크로는 이미지 변환 기법을 사용하여 악성 PE 바이너리를 로드한다.
The “imageoo3.zip” ... file contains embedded javascript code ... drops “AlgStore.exe” ... and later executes it by calling “Wscript.shell” object.
대상 기관이 사용 중인 소프트웨어의 취약점을 이용해 다운로더 악성코드를 설치하였다고 한다.
Upon opening the document, it displays the message in the Korean language to enable the macro to view the contents of the document.
NukeSped에서는 지속성 유지를 위한 기능이 존재하지 않기 때문에 직접 커맨드 라인 명령을 이용해 작업 스케줄러에 등록시키는 명령들도 확인된다.
샘플에 따라서는 시작 프로그램 폴더에 바로가기를 생성하는 경우도 존재한다.
NukeSped에서는 지속성 유지를 위한 기능이 존재하지 않기 때문에 직접 커맨드 라인 명령을 이용해 작업 스케줄러에 등록시키는 명령들도 확인된다.
샘플에 따라서는 시작 프로그램 폴더에 바로가기를 생성하는 경우도 존재한다.
The strings and important API calls are encoded with base64 and RC4 encrypted.
악성코드 제작자는 파일 진단을 우회하기 위한 목적으로 각각의 파일들을 패킹하여 유포하고 있다.
Dynamic resolution of Windows APIs ... The technique is very typical and has already been described [2, p.59].
This is achieved by sending the bot’s client-server traffic as a part of a fake TLS packet that mimics the TLS protocol and seemingly initiates a legitimate connection.
It then deletes itself subsequently.
파일의 MAC Time을 수정해주는 악성코드를 사용해 NukeSped 백도어의 MAC Time을 변경한다.
현재 자신의 프로세스에 로드된 모듈 중 sbiedll.dll, api_log.dll, dir_watch.dll 라는 이름의 DLL 모듈이 존재하는지 확인하고 만일 존재할 경우 ... 즉시 종료된다.
The malware is used for data exfiltration, keyboard and screen capturing.
웹 브라우저들과 아웃룩 클라이언트에 저장되어 있는 사용자의 계정 정보를 탈취하는 악성코드를 사용했다.
cmd.exe /c "ipconfig /all" ... cmd.exe /c "netstat -naop tcp"
감염된 시스템의 사용자 이름, 컴퓨터 이름, MAC 및 IP 정보 등 기본적인 정보를 Base64 인코딩하여 ... C&C 서버에 전송한다.
4444 특정 포트 스캔 ... 기본적인 커맨드 라인 포트 스캐닝 툴이다.
Discovery (TA0007) ... T1057 Process Discovery.
Ability to Gather System Information.
Ability to enumerate drives; Ability to enumerate paths, files, and folders.
cmd.exe /c "net user" ... cmd.exe /c "net user user"
현재 자신의 프로세스에 로드된 모듈 중 sbiedll.dll, api_log.dll, dir_watch.dll 라는 이름의 DLL 모듈이 존재하는지 확인하고 만일 존재할 경우 ... 즉시 종료된다.
Collection (TA0009) T1005 Data from Local System.
The malware is used for data exfiltration, keyboard and screen capturing.
The malware ... [is] capturing keyboard and screenshots.
다음으로 확인되는 악성코드는 사용자의 클립보드 및 현재 사용 중인 윈도우의 텍스트를 수집하여 특정 경로에 저장해 주는 기능을 수행한다.
위의 로그 파일들이 일정 사이즈 이상일 경우에는 ZIP 압축하여 저장하며 비밀번호 "ZIPPROTECT"이다.
ProtocolTcpPure 클래스를 보면 알 수 있듯이 Raw TCP 프로토콜을 이용해 C&C 서버와 통신한다.
ModuleSocksTunnel 클래스에서는 이름과 같이 터널링 기능을 제공할 것으로 추정된다... C&C 서버와 해당 주소 간의 프록시로서 동작한다.
ModulePortForwarder 클래스에서는 이름과 같이 포트 포워딩 기능을 지원한다... 외부에 존재하는 공격자는 포트 포워딩 기능을 지원하는 NukeSped를 통해 감염 시스템 내부 즉 사설 네트워크에 존재하는 공격 대상과 통신했을 것으로 추정된다.
ProtocolTcpPure 클래스를 보면 알 수 있듯이 Raw TCP 프로토콜을 이용해 C&C 서버와 통신한다.
해당 악성코드는 외부에서 추가 악성코드를 다운로드 받고 실행하는 기능을 하는 다운로더이다... 해당 악성코드가 NukeSped 악성코드를 직접 다운로드하여 실행한 로그를 확인할 수 있다.
Exfiltration (TA0010) T1041 Exfiltration over C2 Channel.
751 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
47 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.