Nordkoreas bedste APT svindlede $1 mia fra krypto-investorer i 2022

Blockchain-industrien blødte penge sidste år, hvor det globale marked for kryptovalutaer styrtdykkede med 63%. Men investorer tabte ikke kun penge på halvbagte mønter og overhypede NFT'er.

I en indberette offentliggjort i dag, beskrev forskere fra Proofpoint, hvordan nordkoreanske statsstøttede hackere formåede at suge mere end $1 milliard dollars i kryptovalutaer og andre blockchain-aktiver i 2022-kalenderåret (så meget desto mere imponerende taget i betragtning hvor deprimeret disse aktiver er blevet).

Proofpoint tilskrev succesen for TA444-gruppen og relaterede klynger - forskelligt omtalt som APT38, Bluenoroff, BlackAlicanto, Stardust Chollima og Copernicium - til deres startup-lignende tilgang.

Kendetegn, sagde forskerne, inkluderer "hurtig iteration, testning af produkter i farten og fejl fremad." Gruppen eksperimenterer jævnligt med nye metoder til indtrængen og har cyklet gennem anderledes og bedre malware de seneste år.

"Selvom vi ikke ved, om gruppen har ping-pong-borde eller fustager af en eller anden overvurderet IPA i sit arbejdsområde," skrev forfatterne, "afspejler TA444 opstartskulturen i sin hengivenhed til dollaren og til grinden."

TA444s Evolving Threat

Der er et element af "bevæg dig hurtigt og bryd tingene" til TA444.

I de seneste år har gruppen gentaget deres social engineering taktik mange gange. Nogle gange sendte den private beskeder fra kaprede LinkedIn-konti tilhørende repræsentanter fra legitime virksomheder, andre gange misbrugte den e-mail-marketingværktøjer for at omgå spamfiltre. Den har engageret sig med ofre på engelsk, men også japansk, polsk og spansk.

I et mærkeligt tilfælde e-mailede det organisationer på tværs af den amerikanske sundheds-, uddannelses-, finans- og regeringssektor ved at bruge barebones, phishing-lokker, der er fyldt med stavefejl. I bedste fald henviste deres lokker til specifikke mærkenavne i branchen, nogle gange lovende lønstigninger eller jobmuligheder, men indsatsen her var hovedsageligt rudimentær.

Hvor andre cyberkriminalitetsgrupper måske fokuserer på at perfektionere sociale lokkemidler og leveringsmekanismer, forklarede forskere, at skabelse af malware er det sted, hvor TA444 virkelig adskiller sig.

Deres samling af bagdøre efter udnyttelse har inkluderet msoRAT-legitimationstyveren, SWIFT-rammen for hvidvaskning af penge DYEPAK, og forskellige passive bagdøre og virtuelle "lyttere" til modtagelse og behandling af data fra målmaskiner.

"Dette tyder på, at der er et indlejret, eller i det mindste et dedikeret, malware-udviklingselement sammen med TA444-operatører," ifølge rapporten.

Nordkorea: OG Crypto Bro

For at supplere sin dårlige kommandoøkonomi har den nordkoreanske regering længe brugt hackere til fundraising og målrettet, hvor der end måtte være en økonomisk mulighed. Det inkluderer alt fra forhandlere i USA til SWIFT-banksystemetog i et berygtet tilfælde, hele verden.

Fordi cryptocurrency-virksomheder tilbyder få garantier mod tyveri, transaktioner er generelt irreversible, og parterne i disse transaktioner er svære at identificere, er industrien fyldt med økonomisk motiveret cyberkriminalitet. Nordkorea har dykket ned i denne brønd for år, med kampagner mod startups, botnets, der udvinder mønterog ransomware-kampagner, der anmoder om kryptobetalinger.

Sidste år nåede omfanget af tyveriet dog et nyt niveau. Blockchain-analysefirmaet Chainalysis vurderede, at landet stjal næsten 400 millioner dollars i cryptocurrency og blockchain-aktiver i 2021. I 2022 overgik de det tal med et enkelt angreb - mod et blockchain-spilfirma kaldet SkyMavis - anslået til at være mere end værd at $ 600 millioner dengang. Tilføj andre angreb i løbet af kalenderåret, og deres samlede træk når 10 figurer.

"Selvom vi kan lave sjov med dens brede kampagner og lette klyngedannelse," advarede forskerne, "er TA444 en skarpsindig og dygtig modstander."

Proofpoints rapport bemærkede, at overvågning af MSHTA, VBS, Powershell og anden scripting-sprog udførelse fra nye processer eller filer kan hjælpe med at opdage TA444 aktivitet. Det anbefalede også at bruge bedste praksis til en dybdegående forsvarstilgang til bekæmpelse af TA444-indtrængen: Brug af netværkssikkerhedsovervågningsværktøjer, brug af robust logningspraksis, en god slutpunktsløsning og en e-mailovervågningsanordning, udover at træne arbejdsstyrken til at være opmærksom af røveriaktivitet, der stammer fra kontakt på WhatsApp eller LinkedIn. 

"Derudover, givet den legitimationsphishing-kampagneaktivitet, vi observerede, ville aktivering af MFA-godkendelse på alle eksternt tilgængelige tjenester hjælpe med at begrænse virkningen af, at legitimationsoplysninger til sidst bliver stjålet," sagde forskerne via e-mail.

• SEO Powered Content & PR Distribution. Bliv forstærket i dag.
• Platoblokkæde. Web3 Metaverse Intelligence. Viden forstærket. Adgang her.
• Kilde: https://www.darkreading.com/remote-workforce/north-korea-apt-swindled-1b-crypto-investors-2022