Новая группировка северокорейских хакеров атакует IT-специалистов для кражи криптовалюты

Исследователи в области кибербезопасности зафиксировали масштабную фишинговую кампанию, нацеленную на разработчиков программного обеспечения. За атаками стоит группировка UNK_DeadDrop, связанная с КНДР. Злоумышленники используют схемы с фальшивыми предложениями о трудоустройстве для внедрения вредоносного софта и последующей кражи криптовалютных активов.

Метод фальшивых собеседований выходит на новый уровень

Как отмечают специалисты компании Proofpoint, активность новой группы во многом напоминает тактику известной северокорейской группировки Lazarus. Ранее эта группировка проводила кампании Contagious Interview и Operation DreamJob. В рамках этих схем мошенники создавали детально проработанные профили несуществующих компаний и сотрудников в профессиональных соцсетях. Они связывались с разработчиками из сфер искусственного интеллекта и Web3 (технологий децентрализованного интернета), предлагая им привлекательные вакансии.

Ключевым этапом отбора становилось тестовое задание, для выполнения которого кандидату требовалось запустить код из репозитория на GitHub. Этот код содержал вредоносные программы для кражи данных. После заражения компьютеров злоумышленники получали доступ к корпоративным системам и криптовалютным кошелькам жертв. По имеющимся данным, группировке Lazarus таким образом удалось похитить цифровые активы на миллиарды долларов.

В чем особенности тактики UNK_DeadDrop

Несмотря на схожесть целей, новая группировка UNK_DeadDrop оптимизировала процесс атаки для охвата большего числа жертв. Эксперты выделили несколько ключевых отличий в их подходе:

• Вместо точечного общения в социальных сетях злоумышленники перешли на массовые рассылки по электронной почте.
• Они отказались от проведения долгих фальшивых собеседований, сразу отправляя заманчивые предложения о сотрудничестве или запросы на аудит кода.
• В атаках используется новое автономное вредоносное ПО, которое функционирует независимо от сторонних серверов и ранее не фиксировалось в кампаниях Lazarus.

В обзоре Proofpoint подчеркивается, что переход от индивидуальной социальной инженерии к автоматизированным массовым рассылкам указывает на индустриализацию и масштабирование северокорейских киберопераций. Мошенники стремятся максимально упростить и ускорить процесс заражения устройств потенциальных жертв для получения быстрой финансовой выгоды.

Твитнуть