Nordkoreanische Hacker, insbesondere die BlueNoroff-Gruppe, haben eine ausgeklügelte Malware-Kampagne gestartet, die auf Kryptowährungsunternehmen abzielt. Diese Kampagne mit dem Namen "Hidden Risk" verwendet Phishing-E-Mails, die als legitime Krypto-Nachrichten getarnt sind, um Malware an macOS-Nutzer zu liefern und Schwachstellen in Apples Sicherheitsmaßnahmen auszunutzen.
Wichtige Erkenntnisse
-
Betroffener Sektor: Kryptowährungs- und dezentrale Finanz (DeFi) Unternehmen.
-
Malware-Verbreitung: Phishing-E-Mails mit gefälschten Nachrichtenüberschriften verleiten die Opfer dazu, bösartige Anwendungen herunterzuladen.
-
Umgehungstechniken: Die Malware umgeht die macOS-Sicherheit, indem sie notarisierten Anwendungen und neuartigen Persistenzmethoden verwendet.
Überblick über die Hidden Risk-Kampagne
Die Hidden Risk-Kampagne wurde mit BlueNoroff in Verbindung gebracht, einer Untergruppe der nordkoreanischen Lazarus-Gruppe, die für ihre finanziellen Cyberkriminalitäten bekannt ist. Diese Kampagne begann etwa im Juli 2024 und zeichnet sich durch die Verwendung von Phishing-E-Mails aus, die wertvolle Informationen über Kryptowährungstrends zu liefern scheinen.
Die E-Mails enthalten oft Links zu bösartigen Anwendungen, die als PDF-Dokumente getarnt sind, wie z.B. "Hidden Risk Behind New Surge of Bitcoin Price.app." Nach der Ausführung laden diese Anwendungen ein Ablenkungs-PDF herunter, während sie gleichzeitig eine bösartige Nutzlast abrufen und ausführen.
Infektionsprozess
-
Phishing-E-Mail: Die Opfer erhalten E-Mails mit verlockenden Betreffzeilen, die sich auf Kryptowährungen beziehen und glaubwürdig erscheinen sollen.
-
Bösartige Anwendung: Ein Klick auf den Link lädt eine bösartige Anwendung herunter, die als PDF getarnt ist.
-
Ablenkungs-PDF: Die Anwendung öffnet ein legitim aussehendes PDF, um den Benutzer abzulenken, während sie die Malware im Hintergrund ausführt.
-
Backdoor-Installation: Die Malware installiert eine Hintertür, die es den Angreifern ermöglicht, Befehle aus der Ferne auszuführen.
Technische Details der Malware
-
Anwendungssignatur: Die bösartige App wurde mit einer legitimen Apple Developer ID signiert, die inzwischen von Apple widerrufen wurde.
-
Persistenzmechanismus: Die Malware verwendet eine neuartige Technik, indem sie die
zshenv-Konfigurationsdatei modifiziert, um sicherzustellen, dass sie jedes Mal ausgeführt wird, wenn eine Zsh-Sitzung gestartet wird, und so macOS-Benachrichtigungen über Hintergrundprozesse umgeht. -
Befehls- und Steuerkommunikation: Die Hintertür verbindet sich mit einem Remote-Server, der es den Angreifern ermöglicht, Befehle zu senden und Daten zu exfiltrieren.
Auswirkungen auf die Krypto-Industrie
Die Hidden Risk-Kampagne hebt die anhaltende Bedrohung hervor, die von staatlich geförderten Hackern für den Kryptowährungssektor ausgeht. Mit dem Wachstum der Branche wird sie zu einem attraktiven Ziel für Cyberkriminelle, die versuchen, ihre dezentrale und oft unregulierte Natur auszunutzen.
Organisationen im Krypto-Bereich werden aufgefordert, ihre Sicherheitsmaßnahmen zu verbessern, einschließlich:
-
Mitarbeiterschulung: Schulung des Personals über Phishing-Taktiken und die Bedeutung der Überprüfung von E-Mail-Quellen.
-
Endpoint-Sicherheit: Implementierung robuster Sicherheitslösungen zur Erkennung und Minderung von Malware-Bedrohungen.
-
Regelmäßige Audits: Durchführung häufiger Sicherheitsbewertungen zur Identifizierung und Behebung von Schwachstellen.
Fazit
Das Auftreten der Hidden Risk-Malware-Kampagne unterstreicht die Notwendigkeit einer erhöhten Wachsamkeit innerhalb der Kryptowährungsindustrie. Da nordkoreanische Hacker weiterhin ihre Taktiken anpassen, müssen Unternehmen proaktiv in ihren Cybersecurity-Bemühungen bleiben, um sich gegen diese ausgeklügelten Bedrohungen zu schützen.