Pohjois-Korean hakkerit ja kryptovarkaudet
Pohjois-Koreaan liitetyt hakkerit jatkavat live-videopuheluiden käyttöä, mukaan lukien tekoälyn tuottamat syväväärennökset, huijatakseen kryptokehittäjiä ja työntekijöitä asentamaan haittaohjelmia omille laitteilleen. Viimeisimmässä tapauksessa, jonka paljasti BTC Prahan perustaja Martin Kuchař, hyökkääjät käyttivät vaarannettua Telegram-tiliä ja lavastettua videopuhelua työntääkseen haittaohjelmaa, joka oli naamioitu Zoomin äänenkorjausohjelmaksi.
”Korkean tason hakkerointikampanja” näyttää olevan ”kohdistettu Bitcoin- ja kryptokäyttäjiin”, Kuchař paljasti torstaina X:ssä.
Hyökkäystekniikat
Hyökkääjät ottavat yhteyttä uhriin ja järjestävät Zoom- tai Teams-puhelun. Puhelun aikana he käyttävät tekoälyn tuottamaa videota näyttääkseen joltain, jonka uhri tuntee. He väittävät, että äänessä on ongelma ja pyytävät uhri asentamaan liitännäisen tai tiedoston sen korjaamiseksi. Kun se on asennettu, haittaohjelma antaa hyökkääjille täydet järjestelmäoikeudet, mikä mahdollistaa Bitcoinin varastamisen, Telegram-tilien kaappaamisen ja näiden tilien käyttämisen muiden kohdistamiseen.
Tämä tapahtuu, kun tekoälypohjaiset identiteettihuijaukset ovat nostaneet kryptoon liittyviä menetyksiä ennätyksellisiin 17 miljardiin dollariin vuonna 2025. Hyökkääjät käyttävät yhä enemmän syväväärennösvideoita, äänen kloonausta ja väärennettyjä identiteettejä petkuttaakseen uhreja ja saadakseen pääsyn varoihin, kertoo blockchain-analytiikkayritys Chainalysis.
Huntressin raportti
Kuchařin kuvaama hyökkäys vastaa läheisesti tekniikkaa, jonka kyberturvallisuusyritys Huntress dokumentoi ensimmäisen kerran. Huntress raportoi viime heinäkuussa, että nämä hyökkääjät houkuttelevat kohde kryptotyöntekijän lavastettuun Zoom-puheluun ensimmäisen yhteydenoton jälkeen Telegramissa, usein käyttäen väärennettyä kokouslinkkiä, joka on isännöity huijattua Zoom-verkkotunnusta.
Puhelun aikana hyökkääjät väittävät, että äänessä on ongelma ja ohjeistavat uhria asentamaan sen näköisen korjauksen, joka on itse asiassa haitallinen AppleScript, joka käynnistää monivaiheisen macOS-tartunnan. Kun skripti on suoritettu, se poistaa käytöstä shell-historian, tarkistaa tai asentaa Rosetta 2:n (käännöskerros) Apple Silicon -laitteille ja pyytää käyttäjältä toistuvasti järjestelmän salasanaa saadakseen nostettuja oikeuksia.
Pohjois-Korean kyberuhkat
Tutkimus havaitsi, että haittaohjelmaketju asentaa useita kuormia, mukaan lukien pysyviä takaovia, näppäinten tallennustyökaluja ja leikepöydän työkaluja sekä kryptolompakon varastajia, mikä on samanlainen järjestys, johon Kuchař viittasi, kun hän paljasti maanantaina, että hänen Telegram-tilinsä oli vaarantunut ja myöhemmin käytetty muiden kohdistamiseen samalla tavalla.
Huntressin turvallisuustutkijat ovat liittäneet tunkeutumisen suurella varmuudella Pohjois-Koreaan liitettyyn edistyneeseen jatkuvaan uhkaan, jota seurataan nimellä TA444, joka tunnetaan myös nimellä BlueNoroff ja useilla muilla nimillä. Tämä ryhmä toimii Lazarus Groupin kattojärjestön alla, ja se on valtion tukema ryhmä, joka on keskittynyt kryptovarkauksiin ainakin vuodesta 2017.
Kysyttäessä näiden kampanjoiden operatiivisista tavoitteista ja siitä, uskovatko he, että niillä on yhteys, blockchain-turvallisuusyritys Slowmistin tietoturvajohtaja Shān Zhang kertoi Decryptille, että Kuchařin viimeisin hyökkäys on ”mahdollisesti” yhteydessä laajempiin Lazarus Groupin kampanjoihin.
”Kampanjoissa on selkeästi uudelleenkäyttöä. Näemme jatkuvasti tiettyjen lompakoiden kohdistamista ja hyvin samankaltaisten asennusskriptien käyttöä,” sanoi David Liberman, hajautetun tekoälylaskentaverkon Gonkan yhteisluoja Decryptille.
Kuvia ja videoita ”ei voida enää pitää luotettavana todisteena aitoudesta,” Liberman sanoi ja lisäsi, että digitaalisen sisällön ”tulisi olla kryptografisesti allekirjoitettu sen luojan toimesta, ja tällaiset allekirjoitukset tulisi vaatia monivaiheista todennusta.” Narratiivit, tällaisissa konteksteissa, ovat tulleet ”tärkeäksi signaaliksi seurata ja havaita”, kun otetaan huomioon, kuinka nämä hyökkäykset ”perustuvat tuttuihin sosiaalisiin kaavoihin,” hän sanoi.
Pohjois-Korean Lazarus Group on sidoksissa kampanjoihin kryptoyrityksiä, työntekijöitä ja kehittäjiä vastaan, käyttäen räätälöityjä haittaohjelmia ja kehittynyttä sosiaalista manipulointia varastaakseen digitaalisia omaisuuksia ja pääsyvaltuuksia.
