Северокорейские хакеры, в частности группа BlueNoroff, запустили сложную кампанию по распространению вредоносного ПО, нацеливаясь на криптовалютные компании. Названная «Скрытый риск», эта кампания использует фишинговые электронные письма, замаскированные под легитимные новости криптовалют, чтобы доставить вредоносное ПО пользователям macOS, используя уязвимости в мерах безопасности Apple.
Ключевые выводы
-
Целевой сектор: Криптовалютные и децентрализованные финансовые (DeFi) компании.
-
Доставка вредоносного ПО: Фишинговые электронные письма с фальшивыми заголовками новостей заманивают жертв в загрузку вредоносных приложений.
-
Методы уклонения: Вредоносное ПО обходит безопасность macOS, используя нотариально заверенные приложения и новые методы сохранения.
Обзор кампании Скрытый риск
Кампания Скрытый риск была связана с BlueNoroff, подсобной группой северокорейской группы Lazarus, известной своими финансовыми киберпреступлениями. Эта кампания началась около июля 2024 года и характеризуется использованием фишинговых электронных писем, которые, как кажется, предоставляют ценную информацию о тенденциях в криптовалюте.
Электронные письма часто содержат ссылки на вредоносные приложения, замаскированные под PDF-документы, такие как «Скрытый риск за новым ростом цены на биткойн.app». После выполнения эти приложения загружают поддельный PDF, одновременно извлекая и выполняя вредоносный код.
Процесс заражения
-
Фишинговое электронное письмо: Жертвы получают электронные письма с заманчивыми темами, связанными с криптовалютой, которые выглядят достоверно.
-
Вредоносное приложение: Кликнув по ссылке, загружается вредоносное приложение, замаскированное под PDF.
-
Поддельный PDF: Приложение открывает легитимно выглядящий PDF, чтобы отвлечь пользователя, пока оно выполняет вредоносное ПО в фоновом режиме.
-
Установка задней двери: Вредоносное ПО устанавливает заднюю дверь, позволяя злоумышленникам выполнять команды удаленно.
Технические детали вредоносного ПО
-
Подпись приложения: Вредоносное приложение было подписано с помощью легитимного идентификатора разработчика Apple, который с тех пор был отозван Apple.
-
Механизм сохранения: Вредоносное ПО использует новую технику, модифицируя конфигурационный файл
zshenv, что гарантирует его запуск каждый раз при начале сессии Zsh, тем самым избегая уведомлений macOS о фоновых процессах. -
Связь командного и контрольного центра: Задняя дверь подключается к удаленному серверу, позволяя злоумышленникам отправлять команды и экстрагировать данные.
Последствия для криптоиндустрии
Кампания Скрытый риск подчеркивает продолжающуюся угрозу, исходящую от спонсируемых государством хакеров для сектора криптовалют. По мере роста индустрии она становится привлекательной целью для киберпреступников, стремящихся использовать ее децентрализованный и часто недостаточно регулируемый характер.
Организациям в криптопространстве настоятельно рекомендуется усилить свои меры безопасности, включая:
-
Обучение сотрудников: Обучение персонала методам фишинга и важности проверки источников электронной почты.
-
Безопасность конечных точек: Внедрение надежных решений безопасности для обнаружения и смягчения угроз вредоносного ПО.
-
Регулярные аудиты: Проведение частых оценок безопасности для выявления и устранения уязвимостей.
Заключение
Появление кампании вредоносного ПО Скрытый риск подчеркивает необходимость повышенной бдительности в криптовалютной индустрии. Поскольку северокорейские хакеры продолжают адаптировать свои тактики, бизнесу необходимо оставаться проактивным в своих усилиях по кибербезопасности, чтобы защититься от этих сложных угроз.