Κακόβουλο λογισμικό COVERTCATCH

Βορειοκορεάτες απειλές έχουν βρεθεί να εκμεταλλεύονται το LinkedIn για να στοχεύουν προγραμματιστές μέσω πλαστών σχημάτων πρόσληψης θέσεων εργασίας. Μια βασική τακτική περιλαμβάνει τη χρήση δοκιμών κωδικοποίησης ως αρχικής μεθόδου μόλυνσης. Μετά την εμπλοκή του στόχου σε μια συνομιλία, ο εισβολέας στέλνει ένα αρχείο ZIP μεταμφιεσμένο ως πρόκληση κωδικοποίησης Python, το οποίο στην πραγματικότητα περιέχει το κακόβουλο λογισμικό COVERTCATCH. Μόλις εκτελεστεί, αυτό το κακόβουλο λογισμικό εκκινεί μια επίθεση στο σύστημα macOS του στόχου, κατεβάζοντας ένα ωφέλιμο φορτίο δεύτερου σταδίου για να εδραιώσει την επιμονή χρησιμοποιώντας το Launch Agents και το Launch Daemons.

Η Βόρεια Κορέα παραμένει σημαντικός παίκτης του εγκλήματος στον κυβερνοχώρο

Ωστόσο, αυτό είναι μόνο ένα παράδειγμα μεταξύ των διαφόρων ομάδων δραστηριότητας -όπως το Operation Dream Job και το Contagious Interview- που πραγματοποιείται από ομάδες hacking της Βόρειας Κορέας που χρησιμοποιούν θέλγητρα που σχετίζονται με την εργασία για τη διάδοση κακόβουλου λογισμικού.

Τακτικές με θέμα τη στρατολόγηση έχουν επίσης χρησιμοποιηθεί συνήθως για την ανάπτυξη οικογενειών κακόβουλου λογισμικού όπως το RustBucket και το KANDYKORN . Προς το παρόν, δεν είναι σαφές εάν το COVERTCATCH σχετίζεται με αυτά ή με το TodoSwift που ανακαλύφθηκε πρόσφατα.

Οι ερευνητές εντόπισαν μια καμπάνια κοινωνικής μηχανικής όπου ένα διεφθαρμένο PDF ήταν μεταμφιεσμένο ως περιγραφή θέσης εργασίας για έναν «Αντιπρόεδρο Οικονομικών και Λειτουργιών» σε ένα σημαντικό ανταλλακτήριο κρυπτονομισμάτων. Αυτό το PDF απέβαλε ένα κακόβουλο λογισμικό δεύτερου σταδίου που ονομάζεται RustBucket, ένα backdoor που βασίζεται σε Rust και υποστηρίζει την εκτέλεση αρχείων.

Το εμφύτευμα RustBucket μπορεί να συλλέξει βασικές πληροφορίες συστήματος, να επικοινωνήσει με μια καθορισμένη διεύθυνση URL και να δημιουργήσει επιμονή μέσω ενός Launch Agent που μεταμφιέζεται ως «Ενημέρωση Safari», δίνοντάς του τη δυνατότητα να επικοινωνήσει με έναν σκληρά κωδικοποιημένο τομέα Command-and-Control (C2).

Οι ομάδες χάκερ της Βόρειας Κορέας συνεχίζουν να εξελίσσονται

Η εστίαση της Βόρειας Κορέας στους οργανισμούς Web3 εκτείνεται πέρα από την κοινωνική μηχανική και περιλαμβάνει επιθέσεις στην αλυσίδα εφοδιασμού λογισμικού, όπως αποδεικνύεται από πρόσφατα περιστατικά που αφορούν το 3CX και το JumpCloud. Μόλις οι εισβολείς αποκτήσουν πρόσβαση μέσω κακόβουλου λογισμικού, μετακινούνται σε διαχειριστές κωδικών πρόσβασης για να συλλέξουν διαπιστευτήρια, να πραγματοποιήσουν εσωτερική αναγνώριση μέσω αποθετηρίων κώδικα και τεκμηρίωσης και να διεισδύσουν σε περιβάλλοντα φιλοξενίας cloud για να αποκαλύψουν κλειδιά πορτοφολιού και τελικά να εξαντλήσουν χρήματα.

Αυτή η αποκάλυψη έρχεται σε συνδυασμό με μια προειδοποίηση που εξέδωσε το Ομοσπονδιακό Γραφείο Ερευνών των ΗΠΑ (FBI) σχετικά με τους Βορειοκορεάτες παράγοντες απειλών που στοχεύουν τη βιομηχανία κρυπτονομισμάτων με εξαιρετικά εξειδικευμένες και δύσκολα ανιχνεύσιμες καμπάνιες κοινωνικής μηχανικής.

Αυτές οι συνεχείς προσπάθειες συχνά περιλαμβάνουν την πλαστοπροσωπία εταιρειών πρόσληψης ή οικείων ατόμων, την προσφορά ευκαιριών απασχόλησης ή επένδυσης. Τέτοιες τακτικές χρησιμεύουν ως πύλη για τολμηρές ληστείες κρυπτογράφησης που αποσκοπούν στη δημιουργία παράνομου εισοδήματος για τη Βόρεια Κορέα, η οποία παραμένει υπό διεθνείς κυρώσεις.

Οι ηθοποιοί απειλών χρησιμοποιούν εξατομικευμένες τακτικές για να μολύνουν στόχους

Οι βασικές τακτικές που χρησιμοποιούνται από αυτούς τους παράγοντες περιλαμβάνουν:

• Στόχευση επιχειρήσεων που σχετίζονται με κρυπτονομίσματα.
• Διεξαγωγή ενδελεχούς προεγχειρητικής έρευνας στα θύματά τους πριν έρθουν σε επαφή.
• Δημιουργία εξαιρετικά εξατομικευμένων ψεύτικων σεναρίων για να αυξήσετε την πιθανότητα επιτυχίας.

Μπορεί να αναφέρονται σε προσωπικά στοιχεία, όπως ενδιαφέροντα, σχέσεις, γεγονότα, σχέσεις ή επαγγελματικές συνδέσεις που το θύμα μπορεί να πιστεύει ότι είναι γνωστά σε λίγους. Αυτή η προσέγγιση έχει σχεδιαστεί για να δημιουργεί σχέσεις και τελικά να παρέχει κακόβουλο λογισμικό.

Εάν καταφέρουν να δημιουργήσουν επικοινωνία, ο αρχικός ηθοποιός ή άλλο μέλος της ομάδας μπορεί να αφιερώσει σημαντικό χρόνο στην αλληλεπίδραση με το θύμα για να ενισχύσει την εμφάνιση της νομιμότητας και να καλλιεργήσει μια αίσθηση οικειότητας και εμπιστοσύνης.