Группа Google по анализу угроз выявила изощренную новую тактику, используемую северокорейскими хакерами, получившую название «EtherHiding». Этот метод включает внедрение вредоносного кода в смарт-контракты в публичных блокчейн-сетях для кражи криптовалюты и конфиденциальных данных. Техника, появившаяся в 2023 году, часто использует социальную инженерию для заманивания жертв в компрометацию их систем.
Ключевые выводы
-
Северокорейские хакеры используют технику под названием «EtherHiding» для внедрения вредоносного ПО, крадущего криптовалюту, в смарт-контракты.
-
Атака часто начинается с социальной инженерии, такой как поддельные предложения о работе, чтобы направить жертв на вредоносные веб-сайты.
-
Компрометированные веб-сайты используют блокчейн-функции в режиме «только для чтения», чтобы избежать обнаружения и комиссий за транзакции.
-
Вредоносное ПО может привести к краже конфиденциальных данных и предоставлению долгосрочного доступа к скомпрометированным системам.
Метод атаки EtherHiding
Злоумышленники начинают с компрометации легитимных веб-сайтов с помощью скрипта-загрузчика. Затем они внедряют JavaScript-код на веб-сайт. Этот код запускает отдельный вредоносный пакет, скрытый в смарт-контракте. Когда пользователь взаимодействует с скомпрометированным сайтом, активируется вредоносное ПО, нацеленное на кражу средств и данных.
Обход обнаружения
Критически важно, что скомпрометированный веб-сайт взаимодействует с блокчейн-сетью, используя функцию «только для чтения». Это позволяет злоумышленникам избегать создания фактических транзакций в реестре, тем самым избегая обнаружения и минимизируя связанные с этим комиссии за транзакции, по словам исследователей Google.
Тактики социальной инженерии
Кампания EtherHiding часто нацелена на разработчиков программного обеспечения и криптовалют. Злоумышленники создают поддельные компании, рекрутинговые агентства и онлайн-профили, чтобы представить заманчивые поддельные предложения о работе. Общение часто переносится на такие платформы, как Discord или Telegram, где жертвам предлагается пройти тесты по программированию или оценки при приеме на работу.
Этапы развертывания вредоносного ПО
На этапе технической оценки жертвам обычно предлагается загрузить вредоносные файлы из репозиториев кода, таких как GitHub. В других случаях злоумышленники могут инициировать видеозвонок, отобразить поддельное сообщение об ошибке и предложить пользователю загрузить программный патч, содержащий вредоносный код. После установки развертывается вредоносное ПО второго этапа на основе JavaScript, известное как «JADESNOW», для извлечения конфиденциальных данных. Для высокоценных целей третий этап может предоставить злоумышленникам постоянный доступ к скомпрометированной машине и подключенным сетевым системам.
Источники
-
Северокорейские хакеры внедряют изощренный эксплойт кода в смарт-контракты, Cointelegraph.
-
Что такое EtherHiding? Google помечает вредоносное ПО с кодом кражи криптовалюты в смарт-контрактах — TradingView News, TradingView.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.