بدافزار macOS 'KandyKorn' مهندسان رمزنگاری را فریب می دهد

گروه بدنام تهدید مداوم پیشرفته کره شمالی (APT). جذامی نوعی بدافزار macOS به نام "KandyKorn" را توسعه داده است که از آن برای هدف قرار دادن مهندسان بلاک چین متصل به صرافی‌های ارزهای دیجیتال استفاده می‌کند.

با توجه به گزارش از آزمایشگاه های امنیتی الاستیکKandyKorn مجموعه‌ای از قابلیت‌های کامل برای شناسایی، دسترسی و سرقت هرگونه داده از رایانه قربانی، از جمله خدمات و برنامه‌های ارزهای دیجیتال، دارد.

برای ارائه آن، لازاروس یک رویکرد چند مرحله‌ای را در پیش گرفت که شامل یک برنامه پایتون بود که به عنوان یک ربات آربیتراژ ارز دیجیتال (ابزار نرم‌افزاری که می‌تواند از تفاوت نرخ ارزهای دیجیتال بین پلتفرم‌های مبادله ارزهای دیجیتال سود ببرد) در می‌آید. این برنامه دارای نام های گمراه کننده، از جمله "config.py" و "pricetaable.py" بود و از طریق یک سرور عمومی Discord توزیع شد.

سپس این گروه از تکنیک‌های مهندسی اجتماعی برای تشویق قربانیان خود برای دانلود و باز کردن یک آرشیو فشرده در محیط‌های توسعه‌شان استفاده کرد که ظاهراً حاوی ربات است. در واقع، فایل حاوی یک برنامه از پیش ساخته پایتون با کد مخرب بود.

به گفته کارشناسان Elastic Security، قربانیان این حمله معتقد بودند که یک ربات آربیتراژ را نصب کرده‌اند، اما راه‌اندازی برنامه پایتون اجرای یک جریان بدافزار چند مرحله‌ای را آغاز کرد که با استقرار ابزار مخرب KandyKorn به اوج خود رسید.

روال آلودگی بدافزار KandyKorn

حمله با اجرای Main.py که Watcher.py را وارد می کند، آغاز می شود. این اسکریپت نسخه پایتون را بررسی می‌کند، دایرکتوری‌های محلی را تنظیم می‌کند و دو اسکریپت را مستقیماً از Google Drive بازیابی می‌کند: TestSpeed.py و FinderTools.

از این اسکریپت ها برای دانلود و اجرای یک باینری مبهم به نام Sugarloader استفاده می شود که مسئول دسترسی اولیه به دستگاه و آماده سازی مراحل نهایی بدافزار است که شامل ابزاری به نام Hloader نیز می شود.

تیم تهدید توانست کل مسیر استقرار بدافزار را ردیابی کند و به این نتیجه برسد که KandyKorn آخرین مرحله زنجیره اجراست.

سپس فرآیندهای KandyKorn با سرور هکرها ارتباط برقرار می کند و به آن اجازه می دهد تا در پس زمینه منشعب شود و اجرا شود.

طبق تجزیه و تحلیل، بدافزار دستگاه و برنامه های نصب شده را نظرسنجی نمی کند، بلکه منتظر دستورات مستقیم هکرها است که تعداد نقاط پایانی و مصنوعات شبکه ایجاد شده را کاهش می دهد و در نتیجه امکان شناسایی را محدود می کند.

گروه تهدید همچنین از بارگذاری باینری انعکاسی به عنوان تکنیک مبهم سازی استفاده کرد که به بدافزار کمک می کند تا بیشتر برنامه های شناسایی را دور بزند.

این گزارش خاطرنشان کرد: «دشمنان معمولاً از تکنیک‌های مبهم‌سازی مانند این برای دور زدن قابلیت‌های ضد بدافزار مبتنی بر امضای ثابت سنتی استفاده می‌کنند.

صرافی های ارزهای دیجیتال زیر آتش هستند

صرافی های ارزهای دیجیتال یک سری آسیب دیده اند حملات سرقت کلید خصوصی در سال 2023که بیشتر آنها به گروه لازاروس نسبت داده شده است که از دستاوردهای نامناسب خود برای تأمین مالی رژیم کره شمالی استفاده می کند. اف‌بی‌آی اخیراً دریافته است که این گروه داشته است 1,580 بیت کوین جابه جا کرد از سرقت های متعدد ارزهای دیجیتال، نگهداری وجوه در شش آدرس مختلف بیت کوین.

در ماه سپتامبر، مهاجمان کشف شدند هدف قرار دادن مدل‌سازان سه بعدی و طراحان گرافیک با نسخه های مخرب یک ابزار نصب کننده قانونی ویندوز در کمپین سرقت ارزهای دیجیتال که حداقل از نوامبر 2021 در حال انجام است.

یک ماه قبل، محققان دو کمپین بدافزار مرتبط را کشف کردند CherryBlos و FakeTrade، که کاربران اندروید را برای سرقت ارزهای دیجیتال و سایر کلاهبرداری های مالی با انگیزه هدف قرار می دهد.

تهدید رو به رشد DPKR

همکاری بی سابقه ای از APT های مختلف در جمهوری دموکراتیک خلق کره (DPRK) ردیابی آنها را دشوارتر می کند و زمینه را برای حملات سایبری تهاجمی و پیچیده ای فراهم می کند که نیازمند تلاش های پاسخ استراتژیک است. ماندانت هشدار داد.

به عنوان مثال، رهبر این کشور، کیم جونگ اون، یک چاقوی سوئیسی APT به نام کیمسوکی دارد که همچنان به گسترش پیچک های خود در سراسر جهان ادامه می دهد، و این نشان می دهد که از ترس نترسیده است. محققان در حال نزدیک شدن به. کیمسوکی از جمله تکرارها و تحولات زیادی را پشت سر گذاشته است یک تقسیم مستقیم به دو زیر گروه.

در همین حال، به نظر می رسد که گروه لازاروس a را اضافه کرده است درپشتی جدید پیچیده و هنوز در حال تکامل به زرادخانه بدافزار خود، برای اولین بار در یک سازش موفقیت آمیز سایبری یک شرکت هوافضای اسپانیایی مشاهده شد.

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• PlatoData.Network Vertical Generative Ai. به خودت قدرت بده دسترسی به اینجا.
• PlatoAiStream. هوش وب 3 دانش تقویت شده دسترسی به اینجا.
• PlatoESG. کربن ، CleanTech، انرژی، محیط، خورشیدی، مدیریت پسماند دسترسی به اینجا.
• PlatoHealth. هوش بیوتکنولوژی و آزمایشات بالینی. دسترسی به اینجا.
• منبع: https://www.darkreading.com/endpoint/kandykorn-macos-malware-lures-crypto-engineers