Il Gruppo di Intelligence sulle Minacce di Google ha identificato una nuova e sofisticata tattica impiegata da hacker nordcoreani, denominata "EtherHiding". Questo metodo prevede l'incorporazione di codice dannoso all'interno di smart contract su reti blockchain pubbliche per rubare criptovalute e dati sensibili. La tecnica, emersa nel 2023, sfrutta spesso l'ingegneria sociale per indurre le vittime a compromettere i propri sistemi.
Punti chiave
-
Gli hacker nordcoreani stanno utilizzando una tecnica chiamata "EtherHiding" per incorporare malware che ruba criptovalute negli smart contract.
-
L'attacco inizia spesso con l'ingegneria sociale, come false offerte di lavoro, per indirizzare le vittime verso siti web dannosi.
-
I siti web compromessi utilizzano funzioni blockchain "di sola lettura" per evitare il rilevamento e le commissioni di transazione.
-
Il malware può evolvere per rubare dati sensibili e fornire accesso a lungo termine ai sistemi compromessi.
Il Metodo di Attacco EtherHiding
Gli aggressori iniziano compromettendo indirizzi di siti web legittimi utilizzando uno script di caricamento (Loader Script). Inseriscono quindi codice JavaScript nel sito web. Questo codice attiva un pacchetto dannoso separato nascosto all'interno di uno smart contract. Quando un utente interagisce con il sito compromesso, il malware viene attivato, con l'obiettivo di rubare fondi e dati.
Evitare il Rilevamento
Fondamentalmente, il sito web compromesso comunica con la rete blockchain utilizzando una funzione "di sola lettura". Ciò consente agli attori della minaccia di evitare di creare transazioni effettive sul registro, eludendo così il rilevamento e riducendo al minimo le commissioni di transazione associate, secondo i ricercatori di Google.
Tattiche di Ingegneria Sociale
La campagna EtherHiding prende di mira frequentemente sviluppatori di software e criptovalute. Gli attori della minaccia creano società fittizie, agenzie di reclutamento e profili online per presentare allettanti offerte di lavoro fasulle. Le comunicazioni vengono spesso spostate su piattaforme come Discord o Telegram, dove alle vittime viene chiesto di completare test di codifica o valutazioni di impiego.
Fasi di Distribuzione del Malware
Durante la fase di valutazione tecnica, alle vittime viene in genere chiesto di scaricare file dannosi da repository di codice come GitHub. In altri scenari, gli aggressori possono avviare una videochiamata, visualizzare un messaggio di errore fasullo e chiedere all'utente di scaricare una patch software che contiene il codice dannoso. Una volta installato, viene distribuito un malware di secondo stadio basato su JavaScript noto come "JADESNOW" per esfiltrare dati sensibili. Per i bersagli di alto valore, uno stadio successivo può concedere agli aggressori un accesso persistente alla macchina compromessa e ai sistemi di rete connessi.
Fonti
-
North Korea Hackers Embed Sophisticated Code Exploit in Smart Contracts, Cointelegraph.
-
What is EtherHiding? Google flags malware with crypto-stealing code in smart contracts — TradingView News, TradingView.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.