Najboljši severnokorejski APT je leta 1 od kripto vlagateljev prevaral 2022 milijardo dolarjev

Industrija blockchain je lani izgubila denar, svetovni trg kriptovalut pa je strmoglavil za 63 %. Toda vlagatelji niso izgubili denarja le zaradi napol pečenih kovancev in preveč razviti NFT-jev.

V poročilo Danes objavljeni raziskovalci iz Proofpointa so podrobno opisali, kako je severnokorejskim hekerjem, ki jih podpira država, v koledarskem letu 1 uspelo izčrpati več kot milijardo dolarjev v kriptovalutah in drugih sredstvih verige blokov (kar je toliko bolj impresivno, če upoštevamo kako depresivna so ta sredstva je postal).

Proofpoint je uspeh skupine TA444 in sorodnih grozdov – imenovanih tudi APT38, Bluenoroff, BlackAlicanto, Stardust Chollima in Copernicium – pripisal njihovemu pristopu, podobnemu zagonu.

Značilnosti, so povedali raziskovalci, vključujejo "hitro ponavljanje, testiranje izdelkov na letenju in neuspeh." Skupina redno eksperimentira z novimi metodami vdora in v zadnjih letih kroži skozi drugačno in boljšo zlonamerno programsko opremo.

"Čeprav ne vemo, ali ima skupina v svojem delovnem prostoru mize za namizni tenis ali sode kakšnega precenjenega IPA," so zapisali avtorji, "TA444 res odraža kulturo zagona v svoji predanosti dolarju in mletju."

Razvijajoča se grožnja TA444

TA444 vsebuje element »hitro se premikaj in lomi stvari«.

V zadnjih letih je skupina večkrat ponovila svojo taktiko socialnega inženiringa. Včasih je pošiljal zasebna sporočila iz ugrabljenih računov LinkedIn predstavnikov zakonitih podjetij, drugič je zlorabljal orodja za e-poštno trženje, da bi zaobšel filtre za neželeno pošto. Z žrtvami se je pogovarjal v angleščini, pa tudi v japonščini, poljščini in španščini.

V enem nenavadnem primeru je po e-pošti razstrelil organizacije v zdravstvenem, izobraževalnem, finančnem in vladnem sektorju ZDA, pri čemer je uporabil barebone, vabe za lažno predstavljanje, polne tipkarskih napak. V najboljšem primeru so se njihove vabe sklicevale na posebne blagovne znamke v panogi, včasih so obljubljale povišanje plač ali priložnosti za zaposlitev, vendar so bila prizadevanja tukaj v glavnem rudimentarna.

Medtem ko se druge skupine kibernetske kriminalitete morda osredotočajo na izpopolnjevanje družbenih vab in mehanizmov dostave, so raziskovalci pojasnili, da je ustvarjanje zlonamerne programske opreme tisto, po čemer se TA444 resnično razlikuje.

Njihova zbirka stranskih vrat po izkoriščanju je vključevala krajo poverilnic msoRAT, okvir za pranje denarja SWIFT DYEPACK, ter različna pasivna stranska vrata in navidezni »poslušalci« za sprejemanje in obdelavo podatkov iz ciljnih strojev.

"To nakazuje, da poleg operaterjev TA444 obstaja vdelan ali vsaj namenski razvojni element zlonamerne programske opreme," navaja poročilo.

Severna Koreja: OG Crypto Bro

Severnokorejska vlada je za dopolnitev svojega slabega poveljniškega gospodarstva že dolgo uporabljala hekerje za zbiranje sredstev in ciljala povsod, kjer se je pojavila finančna priložnost. To vključuje vse od trgovci na drobno v Združenih državah Amerike do bančni sistem SWIFT, in v enem razvpitem primeru, ves svet.

Ker podjetja, ki se ukvarjajo s kriptovalutami, ponujajo le malo zaščitnih ukrepov proti kraji, transakcije so na splošno nepovratne in je stranke v teh transakcijah težko prepoznati, je industrija polna finančno motiviranega kibernetskega kriminala. Severna Koreja se že dolgo potaplja v ta vodnjak lets kampanje proti startupom, botneti, ki rudarijo kovancein kampanje z izsiljevalsko programsko opremo, ki zahtevajo kripto plačila.

Lani pa je obseg tatvin dosegel novo raven. Podjetje za raziskavo blokovnih verig Chainalysis je ocenilo, da je država ukradla skoraj 400 milijonov dolarjev v kriptovalutah in sredstvih verige blokov v letu 2021. Leta 2022 so to številko presegli z enim samim napadom – proti podjetju za igre na srečo v verigi blokov, imenovanem SkyMavis – za katerega je bilo ocenjeno, da je vredno več kot $ 600 milijonov ob uri. Dodajte druge napade skozi koledarsko leto in njihov skupni izvlek doseže Številke 10.

"Čeprav se lahko norčujemo iz njegovih širokih kampanj in enostavnosti združevanja v gruče," so opozorili raziskovalci, "je TA444 bistroumen in sposoben nasprotnik."

Proofpointovo poročilo ugotavlja, da lahko spremljanje izvajanja MSHTA, VBS, Powershell in drugih skriptnih jezikov iz novih procesov ali datotek pomaga odkriti aktivnost TA444. Priporoča tudi uporabo najboljših praks za pristop poglobljene obrambe za boj proti vdorom TA444: uporaba orodij za spremljanje varnosti omrežja, uporaba robustnih praks beleženja, dobra rešitev za končno točko in naprava za spremljanje e-pošte, poleg usposabljanja delovne sile, da se zaveda dejavnosti ropa, ki izhaja iz stika na WhatsApp ali LinkedIn. 

"Poleg tega bi glede na dejavnost kampanje lažnega predstavljanja poverilnic, ki smo jo opazili, omogočanje preverjanja pristnosti MFA na vseh zunanjih dostopnih storitvah pomagalo omejiti vpliv morebitne kraje poverilnic," so po elektronski pošti sporočili raziskovalci.

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• Platoblockchain. Web3 Metaverse Intelligence. Razširjeno znanje. Dostopite tukaj.
• vir: https://www.darkreading.com/remote-workforce/north-korea-apt-swindled-1b-crypto-investors-2022