Hakerzy z Korei Północnej przejmują konta na Telegramie, by atakować firmy z branży Bitcoin i kryptowalut
Najważniejsze informacje
- •Północnokoreańscy hakerzy przejmują zaufane konta na Telegramie, by podszywać się pod kadrę kierowniczą i pracowników branży krypto, a następnie wykorzystują te tożsamości do oszukiwania współpracowników i partnerów w celu zainstalowania złośliwego oprogramowania.
- •Kampania przebiega przez przejmowanie kont, budowanie wiarygodności w rutynowych rozmowach, planowanie fałszywych spotkań wideo i przekonywanie ofiar do uruchamiania złośliwego oprogramowania ukrytego pod pozorem poprawek technicznych.
- •Wdrożono liczne rodziny złośliwego oprogramowania służącego do kradzieży danych uwierzytelniających, danych przeglądarek i informacji o portfelach kryptowalut przy jednoczesnym utrzymaniu długotrwałego dostępu do zakażonych systemów.
- •Monitory sankcji ONZ zgłaszają, że północnokoreańscy operatorzy cybernetyczni ukradli w ostatnich latach miliardy dolarów w kryptowalutach, a część środków pomaga finansować program zbrojeniowy kraju.
- •Specjaliści ds. bezpieczeństwa zalecają weryfikowanie nieoczekiwanych zaproszeń na spotkania za pośrednictwem odrębnych kanałów komunikacji oraz włączanie silnych zabezpieczeń kont w celu zmniejszenia ryzyka przejęcia.
Powiązani z państwem północnokoreańskim hakerzy rozszerzają swoje ataki na branżę kryptowalut, przejmując konta na Telegramie i wykorzystując je do nakłonienia specjalistów od Bitcoina i kryptowalut do zainstalowania złośliwego oprogramowania. Badacze ds. bezpieczeństwa opisują tę kampanię jako kolejny etap w długotrwałych wysiłkach Pjongjang, mających na celu kradzież aktywów cyfrowych oraz poufnych danych uwierzytelniających, które mogą pomóc w finansowaniu sankcjonowanych działań kraju. Według monitorów sankcji Organizacji Narodów Zjednoczonych oraz firm zajmujących się analityką blockchain, takich jak Chainalysis i TRM Labs, północnokoreańscy operatorzy cybernetyczni ukradli w ciągu ostatnich kilku lat miliardy dolarów w kryptowalutach, a komisje ONZ zgłaszały, że część tych środków pomogła sfinansować program zbrojeniowy kraju.
Z najnowszych ustaleń wynika, że atakujący najpierw przejmują kontrolę nad legalnymi kontami na Telegramie należącymi do kadry kierowniczej lub pracowników w sektorze krypto i fintech. Następnie wykorzystują te zaufane tożsamości do kontaktowania się ze współpracownikami, inwestorami i partnerami biznesowymi, ostatecznie zapraszając ich na pozornie legalne spotkania online. Podczas tych sfabrykowanych sesji ofiary są instruowane, aby zainstalować oprogramowanie lub uruchomić polecenia w celu rozwiązania zmyślonych problemów technicznych, co ostatecznie zakaża ich urządzenia złośliwym oprogramowaniem. Telegram stał się podstawowym narzędziem komunikacyjnym w całej branży kryptowalut, powszechnie używanym do zawierania transakcji, koordynacji projektów i zarządzania społecznością, co sprawia, że przejęte konta na tej platformie są szczególnie skutecznym narzędziem docierania do celów, które rutynowo prowadzą tam wrażliwe interesy.
Zaufane konta stają się punktem wejścia
Badacze zauważają, że atakujący polegają przede wszystkim na inżynierii społecznej, a nie na exploitach technicznych. Przejmując autentyczne konta na Telegramie, omijają sceptycyzm, jaki zazwyczaj budzą nieproszona wiadomości. To podejście skoncentrowane na człowieku odzwierciedla szerszy trend obserwowany w całej branży: ponieważ giełdy, dostawcy portfeli i powiernicy wzmocnili swoje zabezpieczenia techniczne, podmioty zagrażające coraz częściej zwracają się ku oszukiwaniu poszczególnych pracowników posiadających uprzywilejowany dostęp, zamiast próbować przełamywać zabezpieczenia kodu.
Kampania przebiega zazwyczaj w kilku etapach:
- Przejęcie zaufanego konta na Telegramie.
- Budowanie wiarygodności poprzez rutynowe rozmowy.
- Zaplanowanie fałszywego spotkania na Zoom lub wideokonferencji.
- Przekonanie ofiary do instalacji rzekomej poprawki audio lub oprogramowania.
- Wdrożenie złośliwego oprogramowania zaprojektowanego do kradzieży danych uwierzytelniających, danych przeglądarek i informacji o portfelach kryptowalut.
Śledczy zidentyfikowali liczne rodziny złośliwego oprogramowania zaprojektowane tak, aby utrzymać długotrwały dostęp i jednocześnie zbierać wrażliwe dane z zakażonych systemów. Operacja jest wymierzona głównie w firmy z branży kryptowalut, programistów, fundusze typu venture capital oraz inne organizacje zarządzające lub inwestujące w aktywa cyfrowe.
Rosnące zagrożenie dla branży kryptowalut
Eksperci ds. cyberbezpieczeństwa ostrzegają, że północnokoreańskie grupy zagrożeń stale doskonalą swoje techniki, łącząc przejęte konta komunikacyjne, zaawansowaną inżynierię społeczną, a w niektórych przypadkach również generowane sztuczną inteligencją filmy deepfake, aby zwiększyć swoją wiarygodność. Zamiast atakować sieci blockchain bezpośrednio, hakerzy koncentrują się coraz bardziej na pracownikach posiadających uprzywilejowany dostęp do portfeli, infrastruktury chmurowej i systemów wewnętrznych. Analitycy zauważają, że taktyka ta odzwierciedla wcześniejsze północnokoreańskie operacje udokumentowane przez firmy takie jak Mandiant (należący do Google) oraz Slow Mist, w których fałszywi rekruterzy i kontakty biznesowe zwabiali inżynierów z branży krypto do uruchamiania złośliwego kodu pod pozorem testów programistycznych lub narzędzi do współpracy.
Kampania podkreśla rosnące znaczenie weryfikowania nieoczekiwanych zaproszeń na spotkania, nawet gdy wydają się one pochodzić od znanych kontaktów na Telegramie. Specjaliści ds. bezpieczeństwa zalecają potwierdzanie zaproszeń za pośrednictwem odrębnego kanału komunikacji, unikanie pobierania nieznanego oprogramowania oraz włączanie silnych zabezpieczeń kont, aby zmniejszyć ryzyko ich przejęcia.
