Sjevernokorejski hakeri iskorištavaju značajku zumiranja za krađu milijuna u kriptovaluti

Nova i uznemirujuća kampanja kibernetičkog kriminala usmjerena je na trgovce kriptovalutama i investitore, koristeći poznatu platformu za videokonferencije Zoom kao vektor napada. Izvješća neprofitne organizacije Security Alliance (SEAL) i tvrtke za kibernetičku sigurnost Trail of Bits razotkrila su lukavu operaciju koju su orkestrirali sjevernokorejski hakeri, poznati po svojim nemilosrdnim napadima na kripto sektor. Ova kampanja, nazvana "Elusive Comet", otkriva koliko su prijetnje društvenog inženjeringa postale sofisticirane - i kako svakodnevni poslovni alati mogu postati oružje u krivim rukama.

Mamac za krađu identiteta maskiran kao poslovne prilike

Pristup napadača je i uvjerljiv i suptilan. Oponašajući poduzetničke kapitaliste ili voditelje podcasta, ovi hakeri prvo dopiru do onoga što se čini kao legitiman poslovni prijedlog. Žrtve se često kontaktira putem Calendly poveznica, pozivajući ih da zakažu sastanak na Zoomu kako bi razgovarali o navodnom ulaganju ili pojavljivanju podcasta. Početna komunikacija osmišljena je tako da izgleda kao prilika, a ne prijetnja, snižavajući obranu mete i izgrađujući osjećaj hitnosti odgađanjem detalja sastanka do zadnje minute.

Nakon što se žrtva pridruži planiranom Zoom pozivu, napadači čine svoj potez. Zahtijevaju da žrtva podijeli njihov zaslon - uobičajeni upit u poslovnim razgovorima. Ali onda, koristeći Zoomovu značajku daljinskog upravljanja, hakeri traže kontrolu nad žrtvinim računalom. Varljivi obrat čini ovaj zahtjev još opasnijim: napadači mijenjaju svoje Zoom ime za prikaz u "Zoom", prikrivajući dijaloški okvir dopuštenja da izgleda kao standardna, bezopasna obavijest sustava.

Jednim klikom do potpunog kompromisa

Ovaj jedan klik može predati punu kontrolu nad žrtvinim mišem i tipkovnicom. Napadači brzo postavljaju zlonamjerni softver infostealer ili trojance za daljinski pristup (RAT) koji pretražuju stroj u potrazi za sesijama preglednika, spremljenim lozinkama, početnim frazama kripto novčanika i drugim osjetljivim informacijama. SEAL-ovi zapisnici pripisuju "milijune dolara" u ukradenim sredstvima ovim taktikama, napominjući da se kriminalci oslanjaju na mrežu lažnih profila na društvenim mrežama i uglađenih web stranica kako bi dali kredibilitet svojoj prijevari.

Trail of Bits susreo se s napadom iz prve ruke. Izvršni direktor tvrtke primio je poruke s X (bivši Twitter) profila koji su tvrdili da su Bloombergovi producenti, snažno se zalažući za Zoom intervju u posljednjem trenutku o kriptovaluti. Kad se bolje pogleda, poveznice na Zoom sastanak dovele su do korisničkih računa, a ne do legitimnih korporativnih. Napadači su stalno odbijali komunicirati putem e-pošte, inzistirajući na Zoomu, gdje bi mogli pokrenuti svoj exploit.

Manjkava značajka pretvorila se u vektor napada

Korijen napada je Zoomova značajka daljinskog upravljanja, koja je dizajnirana za zajednički rad, ali se može zloupotrijebiti ako korisnici nisu oprezni. Iako domaćini mogu onemogućiti ovu funkciju na razini računa, grupe ili korisnika, ona je često ostavljena prema zadanim postavkama u korporativnim postavkama. U dijaloškom okviru za dopuštenje nedostaje nikakva razlikovna oznaka koja bi označila zahtjev treće strane, što korisnicima olakšava da budu prevareni upitom koji izgleda rutinski.

Trail of Bits upozorava da je ova vrsta napada posebno učinkovita jer se oslanja na ljudsko ponašanje, a ne na softverske greške. Mnogi profesionalci navikli su brzo odobravati Zoom obavijesti, a napadači iskorištavaju tu familijarnost kako bi zaobišli obranu čak i iskusnih korisnika. Tvrtka povlači izravnu liniju od ove kampanje do nedavnih incidenata visokog profila, kao što je hakiranje Bybita od 1,5 milijardi dolara, koje se također oslanjalo na manipuliranje legitimnim tijekovima rada, a ne iskorištavanje ranjivosti koda.

Zaštita od nedostižne prijetnje kometa

Šira implikacija je zabrinjavajuća: kako blockchain industrija sazrijeva, napadači prebacuju svoj fokus s tehničkih iskorištavanja na ljudske ranjivosti. Operativna sigurnost—zaštita procesa i odluka korisnika—postala je jednako važna kao i obrana od softverskih grešaka.

Kao odgovor na to, Trail of Bits je poduzeo snažne mjere, onemogućivši mogućnost daljinskog upravljanja Zoomom i blokirajući dopuštenja pristupačnosti koja omogućuju takve napade, bez ometanja normalne upotrebe videokonferencije. Pozivaju organizacije i pojedince u kripto sektoru da učine isto, pregledavajući svoje Zoom postavke i educirajući korisnike o opasnostima slijepog prihvaćanja zahtjeva za dijeljenje zaslona i daljinsko upravljanje.

S milijunima koji su već izgubljeni i napadačima koji nastavljaju usavršavati svoje metode, poruka je jasna: nikad ne tretirajte alate za videokonferencije kao bezrizične. Ako trgujete, ulažete ili radite u kripto industriji, dobro razmislite prije nego što prihvatite neočekivane zahtjeve za sastanke—i nikada ne odobravajte upit daljinskog upravljanja bez apsolutne sigurnosti u njegovu legitimnost. Prijetnja možda izgleda kao i obično, ali ulozi nikada nisu bili veći.