Hacker nordcoreani dirottano account Telegram per colpire aziende Bitcoin e cripto
Punti chiave
- •Gli hacker nordcoreani stanno compromettendo account Telegram affidabili per impersonare dirigenti e dipendenti dell'industria cripto, utilizzando poi queste identità per ingannare colleghi e partner spingendoli a installare malware.
- •La campagna si sviluppa attraverso il dirottamento di account, la costruzione di credibilità mediante conversazioni di routine, la pianificazione di false videochiamate e la persuasione delle vittime a eseguire software dannoso camuffato da correzione tecnica.
- •Sono state distribuite diverse famiglie di malware per rubare credenziali, dati del browser e informazioni sui wallet di criptovalute, mantenendo al contempo un accesso a lungo termine ai sistemi infetti.
- •I monitor delle sanzioni dell'ONU segnalano che gli operatori informatici nordcoreani hanno rubato miliardi di dollari in criptovalute negli ultimi anni, con parte dei proventi destinata al finanziamento dei programmi di armamenti del Paese.
- •I professionisti della sicurezza consigliano di verificare le richieste di riunione inaspettate attraverso canali di comunicazione separati e di attivare protezioni robuste degli account per ridurre il rischio di compromissione.
Hacker legati allo Stato nordcoreano stanno ampliando i loro attacchi contro l'industria delle criptovalute compromettendo account Telegram e utilizzandoli per ingannare professionisti di Bitcoin e cripto, spingendoli a installare malware. I ricercatori di sicurezza descrivono la campagna come un'ulteriore evoluzione nel lungo sforzo di Pyongyang per rubare asset digitali e credenziali sensibili che possono contribuire a finanziare le attività sanzionate del Paese. Secondo i monitor delle sanzioni delle Nazioni Unite e società di analisi blockchain come Chainalysis e TRM Labs, gli operatori informatici nordcoreani hanno rubato miliardi di dollari in criptovalute negli ultimi anni, con i panel dell'ONU che segnalano che parte di questi proventi ha contribuito a finanziare i programmi di armamenti del Paese.
Secondo le ultime scoperte, gli aggressori ottengono inizialmente il controllo di account Telegram legittimi appartenenti a dirigenti o dipendenti dei settori cripto e fintech. Utilizzano quindi quelle identità affidabili per contattare colleghi, investitori e partner commerciali, invitandoli infine a riunioni online apparentemente legittime. Durante queste sessioni contraffatte, le vittime ricevono l'istruzione di installare software o eseguire comandi per risolvere problemi tecnici inventati, infettando in ultima istanza i propri dispositivi con malware. Telegram è diventato uno strumento di comunicazione centrale in tutta l'industria delle criptovalute, ampiamente utilizzato per la conclusione di accordi, il coordinamento di progetti e la gestione delle community, il che rende gli account compromessi sulla piattaforma particolarmente efficaci per raggiungere obiettivi che vi conducono abitualmente affari sensibili.
Account affidabili diventano il punto di accesso
I ricercatori notano che gli aggressori si affidano principalmente all'ingegneria sociale piuttosto che a exploit tecnici. Dirottando account Telegram autentici, aggirano lo scetticismo che in genere accoglie i messaggi non sollecitati. Questo approccio centrato sulle persone riflette una tendenza più ampia documentata in tutto il settore: man mano che gli exchange, i provider di wallet e i custodi hanno rafforzato le proprie difese tecniche, gli attori minacciosi si sono progressivamente orientati verso l'inganno di singoli dipendenti con accesso privilegiato, anziché violare il codice.
La campagna si sviluppa generalmente attraverso diverse fasi:
- Compromettere un account Telegram affidabile.
- Costruire credibilità attraverso conversazioni di routine.
- Pianificare una falsa riunione Zoom o videochiamata.
- Convincere la vittima a installare una presunta correzione audio o software.
- Distribuire malware progettato per rubare credenziali, dati del browser e informazioni sui wallet di criptovalute.
Gli investigatori hanno identificato diverse famiglie di malware progettate per mantenere un accesso a lungo termine raccogliendo dati sensibili dai sistemi infetti. L'operazione prende di mira principalmente aziende di criptovalute, sviluppatori di software, società di venture capital e altre organizzazioni che gestiscono o investono in asset digitali.
Una minaccia crescente per l'industria cripto
Gli esperti di cybersecurity avvertono che i gruppi minacciosi nordcoreani continuano a perfezionare le proprie tecniche combinando account di messaggistica compromessi, ingegneria sociale sofisticata e, in alcuni casi, video deepfake generati con intelligenza artificiale per aumentare la propria credibilità. Invece di attaccare direttamente le reti blockchain, gli hacker si concentrano sempre più sui dipendenti con accesso privilegiato a wallet, infrastrutture cloud e sistemi interni. Gli analisti notano che la tattica ricalca precedenti operazioni nordcoreane documentate da società tra cui Mandiant di Google e Slow Mist, in cui finti recruiter e contatti commerciali attiravano ingegneri cripto inducendoli a eseguire codice dannoso con il pretesto di test di programmazione o strumenti di collaborazione.
La campagna sottolinea la crescente importanza di verificare le richieste di riunione inaspettate, anche quando sembrano provenire da contatti Telegram noti. I professionisti della sicurezza consigliano di confermare gli inviti attraverso canali di comunicazione separati, evitare download di software sconosciuti e attivare protezioni robuste degli account per ridurre il rischio di compromissione.