Il malware macOS "KandyKorn" attira gli ingegneri crittografici

Il famigerato gruppo APT (Advanced Persistent Threat) della Corea del Nord Lazarus ha sviluppato una forma di malware macOS chiamato “KandyKorn”, che sta utilizzando per prendere di mira gli ingegneri blockchain collegati agli scambi di criptovaluta.

Secondo un rapporto di Elastic Security Labs, KandyKorn dispone di un set completo di funzionalità per rilevare, accedere e rubare qualsiasi dato dal computer della vittima, inclusi servizi e applicazioni di criptovaluta.

Per realizzarlo, Lazarus ha adottato un approccio a più fasi che prevedeva un'applicazione Python mascherata da bot di arbitraggio di criptovaluta (uno strumento software in grado di trarre profitto dalla differenza nei tassi di criptovaluta tra le piattaforme di scambio di criptovaluta). L'app presentava nomi fuorvianti, tra cui "config.py" e "pricetable.py", ed era distribuita tramite un server Discord pubblico.

Il gruppo ha quindi utilizzato tecniche di ingegneria sociale per incoraggiare le vittime a scaricare e decomprimere un archivio zip nei loro ambienti di sviluppo, presumibilmente contenente il bot. In realtà, il file conteneva un'applicazione Python precostruita con codice dannoso.

Le vittime dell'attacco credevano di aver installato un bot di arbitraggio, ma il lancio dell'applicazione Python ha avviato l'esecuzione di un flusso di malware in più fasi culminato nell'implementazione dello strumento dannoso KandyKorn, hanno detto gli esperti di Elastic Security.

Routine di infezione di KandyKorn Malware

L'attacco inizia con l'esecuzione di Main.py, che importa Watcher.py. Questo script controlla la versione di Python, configura le directory locali e recupera due script direttamente da Google Drive: TestSpeed.py e FinderTools.

Questi script vengono utilizzati per scaricare ed eseguire un binario offuscato chiamato Sugarloader, responsabile di fornire l'accesso iniziale alla macchina e di preparare le fasi finali del malware, che coinvolgono anche uno strumento chiamato Hloader.

Il team delle minacce è riuscito a tracciare l’intero percorso di distribuzione del malware, giungendo alla conclusione che KandyKorn è la fase finale della catena di esecuzione.

I processi KandyKorn stabiliscono quindi la comunicazione con il server degli hacker, consentendogli di ramificarsi ed essere eseguito in background.

Secondo l'analisi, il malware non interroga il dispositivo e le applicazioni installate, ma attende comandi diretti dagli hacker, il che riduce il numero di endpoint e artefatti di rete creati, limitando così la possibilità di rilevamento.

Il gruppo di minacce ha utilizzato anche il caricamento binario riflettente come tecnica di offuscamento, che aiuta il malware a bypassare la maggior parte dei programmi di rilevamento.

"Gli avversari utilizzano comunemente tecniche di offuscamento come questa per aggirare le tradizionali funzionalità antimalware basate su firme statiche", osserva il rapporto.

Scambi di criptovaluta sotto attacco

Gli scambi di criptovaluta hanno sofferto una serie di attacchi di furto di chiavi private nel 2023, la maggior parte dei quali sono stati attribuiti al gruppo Lazarus, che utilizza i suoi guadagni illeciti per finanziare il regime nordcoreano. L'FBI ha recentemente scoperto che il gruppo aveva spostato 1,580 bitcoin da molteplici rapine di criptovaluta, detenendo i fondi in sei diversi indirizzi bitcoin.

A settembre sono stati scoperti gli aggressori rivolto a modellatori 3D e grafici con versioni dannose di uno strumento di installazione Windows legittimo in una campagna di furto di criptovaluta in corso almeno da novembre 2021.

Un mese prima, i ricercatori avevano scoperto due campagne malware correlate, soprannominate CherryBlos e FakeTrade, che ha preso di mira gli utenti Android per furti di criptovaluta e altre truffe a sfondo finanziario.

Minaccia crescente da parte della DPKR

Una collaborazione senza precedenti tra varie APT all'interno della Repubblica popolare democratica di Corea (RPDC) le rende più difficili da rintracciare, ponendo le basi per attacchi informatici aggressivi e complessi che richiedono sforzi di risposta strategica, secondo un recente rapporto di Mandiant ha avvertito.

Ad esempio, il leader del paese, Kim Jong Un, possiede un coltellino svizzero APT chiamato Kimsuky, che continua a diffondere i suoi tentacoli in tutto il mondo, indicando che non è intimidito dal ricercatori in avvicinamento. Kimsuky ha attraversato molte iterazioni ed evoluzioni, incluso una netta divisione in due sottogruppi.

Nel frattempo, il gruppo Lazarus sembra aver aggiunto a nuova backdoor complessa e ancora in evoluzione al suo arsenale di malware, individuato per la prima volta in una compromissione informatica riuscita di una società aerospaziale spagnola.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/endpoint/kandykorn-macos-malware-lures-crypto-engineers