Βορειοκορεάτες hackers χρησιμοποιούν μια ψεύτικη εφαρμογή τηλεδιάσκεψης, που υποδύεται το FreeConference.com, στα πλαίσια μιας νέας κακόβουλης εκστρατείας που παρακολουθείται ως Contagious Interview.
Οι επιθέσεις εντοπίστηκαν από την εταιρεία Group-IB στα μέσα Αυγούστου 2024.
Οι επιθέσεις ξεκινούν με μια πλασματική συνέντευξη εργασίας και προσπαθούν να εξαπατήσουν όσους αναζητούν εργασία, ώστε να κατεβάσουν και να εκτελέσουν ένα Node.js project που περιέχει το BeaverTail downloader malware, το οποίο με τη σειρά του παρέχει το InvisibleFerret backdoor. Αυτό το κακόβουλο λογισμικό επιτρέπει απομακρυσμένη πρόσβαση και διαθέτει δυνατότητες keylogging και κλοπής στοιχείων browser.
Δείτε επίσης: Βορειοκορεάτες hackers διανέμουν το rootkit FudModule μέσω Chrome zero-day
Ορισμένες παραλλαγές του BeaverTail, το οποίο λειτουργεί επίσης ως κλέφτης πληροφοριών, έχουν εκδηλωθεί με τη μορφή JavaScript malware, που συνήθως διανέμεται μέσω πλαστών npm packages, ως μέρος μιας υποτιθέμενης τεχνικής αξιολόγησης κατά τη διαδικασία της συνέντευξης.
Ωστόσο, τον Ιούλιο του 2024, οι ερευνητές παρατήρησαν ότι χρησιμοποιούνταν Windows MSI installer και Apple macOS disk image (DMG) files που μεταμφιέζονταν ως το νόμιμο λογισμικό τηλεδιάσκεψης MiroTalk, λειτουργώντας ως αγωγός για την ανάπτυξη μιας ενημερωμένης έκδοσης του BeaverTail.
Τα τελευταία ευρήματα της Group-IB, η οποία έχει αποδώσει την καμπάνια στους γνωστούς Βορειοκορεάτες hackers Lazarus, υποδηλώνουν ότι οι επιτιθέμενοι συνεχίζουν να βασίζονται σε αυτόν τον μηχανισμό διανομής, με τη μόνη διαφορά ότι το πρόγραμμα εγκατάστασης (“FCCCall.msi”) μιμείται τώρα το FreeConference .com αντί για το MiroTalk.
Πιστεύεται ότι η λήψη του ψεύτικου προγράμματος εγκατάστασης γίνεται από έναν ιστότοπο που ονομάζεται freeconference[.]io, ο οποίος χρησιμοποιεί τον ίδιο registrar με τον εικονικό ιστότοπο mirotalk[.]net.
“Εκτός από το Linkedin, η Lazarus αναζητά πιθανά θύματα σε άλλες πλατφόρμες αναζήτησης εργασίας όπως οι WWR, Moonlight, Upwork και άλλες“, δήλωσε η ερευνήτρια ασφαλείας Sharmine Low. “Μετά την αρχική επαφή, συχνά προσπαθούσαν να μετακινήσουν τη συνομιλία στο Telegram, όπου στη συνέχεια ζητούσαν από τους πιθανούς συνεντευξιαζόμενους να κατεβάσουν μια εφαρμογή τηλεδιάσκεψης ή ένα Node.js project, για να εκτελέσουν μια τεχνική εργασία ως μέρος της διαδικασίας συνέντευξης“.
Δείτε επίσης: Χάκερς της Βόρειας Κορέας στοχεύουν προγραμματιστές με κακόβουλα πακέτα npm
Συνεχής εξέλιξη και βελτίωση του BeaverTail
Οι ερευνητές παρατήρησαν ότι οι επιτιθέμενοι εισάγουν το κακόβουλο JavaScript σε cryptocurrency– και gaming-related repositories. Ο κώδικας JavaScript, από την πλευρά του, έχει σχεδιαστεί για να ανακτά τον κώδικα Javascript του BeaverTail από το domain ipcheck[.]cloud ή regioncheck[.]net.
Επιπλέον, το BeaverTail έχει πλέον διαμορφωθεί για να εξάγει δεδομένα από περισσότερες επεκτάσεις cryptocurrency wallet όπως τα Kaikas, Rabby, Argent X και Exodus Web3.
Οι ερευνητές παρατήρησαν, επίσης, ότι οι δυνατότητες κλοπής πληροφοριών του BeaverTail πραγματοποιούνται τώρα μέσω ενός συνόλου Python scripts, που ονομάζονται συλλογικά CivetQ. Το κακόβουλο λογισμικό μπορεί να κλέψει cookies, δεδομένα προγράμματος περιήγησης, πληκτρολογήσεις και περιεχόμενο προχείρου. Συνολικά, το κακόβουλο λογισμικό μπορεί να στοχεύσει 74 επεκτάσεις προγράμματος περιήγησης.
“Το κακόβουλο λογισμικό μπορεί να υποκλέψει δεδομένα από το Microsoft Sticky Notes στοχεύοντας τα SQLite database files της εφαρμογής που βρίσκονται στο `%LocalAppData%\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite,`όπου οι σημειώσεις του χρήστη αποθηκεύονται σε μη κρυπτογραφημένη μορφή“, είπε η Low.
“Αναζητώντας και εξάγοντας δεδομένα από αυτήν τη βάση δεδομένων, το κακόβουλο λογισμικό μπορεί να ανακτήσει και να κλέψει ευαίσθητες πληροφορίες από την εφαρμογή Sticky Notes του θύματος“.
Η ειδικός συνέχισε λέγοντας: “Η ομάδα Lazarus έχει ενημερώσει τις τακτικές της, έχει αναβαθμίσει τα εργαλεία της και έχει βρει καλύτερους τρόπους για να κρύψει τις δραστηριότητές της. Δεν δείχνουν σημάδια χαλάρωσης των προσπαθειών τους, όπως δείχνει αυτή η καμπάνια που στοχεύει άτομα που αναζητούν εργασία. Οι επιθέσεις τους γίνονται όλο και πιο δημιουργικές και τώρα επεκτείνουν την εμβέλειά τους σε περισσότερες πλατφόρμες“.
Δείτε επίσης: Νοτιοκορεάτες hackers εκμεταλλεύονται ευπάθεια του WPS Office
Βορειοκορεάτες hackers: Μια μεγάλη απειλή
Οι Βορειοκορεάτες hackers αποτελούν απειλή για την παγκόσμια ασφάλεια μέσω μιας σειράς επιθέσεων στον κυβερνοχώρο που στοχεύουν σε κρίσιμα συστήματα και δίκτυα. Αυτές οι επιθέσεις μπορούν να προκαλέσουν σημαντικές διαταραχές και να υπονομεύσουν την εμπιστοσύνη στα ψηφιακά συστήματα.
Επιπλέον, οι Βορειοκορεάτες hackers έχουν δείξει την ικανότητά τους να διεισδύουν σε οικονομικά συστήματα, όπως τράπεζες και κρυπτονομίσματα, προκαλώντας οικονομική αστάθεια.
Τέλος, μπορούν να χρησιμοποιήσουν τις δεξιότητές τους για να κλέψουν ευαίσθητες πληροφορίες, όπως στρατιωτικά μυστικά ή πνευματικά δικαιώματα, προκαλώντας έτσι ζητήματα ασφάλειας και πολιτικές εντάσεις.
Πηγή: thehackernews.com
