APT อันดับต้น ๆ ของเกาหลีเหนือฉ้อฉล 1 พันล้านดอลลาร์จากนักลงทุน Crypto ในปี 2022

อุตสาหกรรม blockchain ตกเลือดเมื่อปีที่แล้ว โดยตลาดทั่วโลกสำหรับ cryptocurrencies ลดลง 63% แต่นักลงทุนไม่เพียงแค่สูญเสียเงินให้กับเหรียญครึ่งเดียวและ NFTs ที่มากเกินไปเท่านั้น

ใน รายงาน เผยแพร่ในวันนี้ นักวิจัยจาก Proofpoint ให้รายละเอียดว่าแฮ็กเกอร์ที่ได้รับการสนับสนุนจากเกาหลีเหนือจัดการอย่างไรเพื่อสูบเงิน cryptocurrencies และทรัพย์สิน blockchain อื่น ๆ มากกว่า 1 พันล้านดอลลาร์ในปีปฏิทิน 2022 ทรัพย์สินเหล่านั้นตกต่ำเพียงใด กลายเป็น)

Proofpoint กล่าวถึงความสำเร็จของกลุ่ม TA444 และคลัสเตอร์ที่เกี่ยวข้อง ซึ่งเรียกกันต่างๆ นานาว่า APT38, Bluenoroff, BlackAlicanto, Stardust Chollima และ Copernicium ซึ่งมาจากแนวทางที่คล้ายกับสตาร์ทอัพ

Hallmarks นักวิจัยกล่าวว่ารวมถึง "การทำซ้ำอย่างรวดเร็วการทดสอบผลิตภัณฑ์ในทันทีและความล้มเหลวไปข้างหน้า" กลุ่มนี้ทดลองวิธีการบุกรุกใหม่ๆ เป็นประจำ และได้หมุนเวียนมัลแวร์ที่ต่างออกไปและดีกว่าในช่วงไม่กี่ปีที่ผ่านมา

“ในขณะที่เราไม่ทราบว่ากลุ่มนี้มีโต๊ะปิงปองหรือถัง IPA ที่ประเมินค่าสูงเกินจริงในพื้นที่ทำงานหรือไม่” ผู้เขียนเขียนว่า “TA444 สะท้อนถึงวัฒนธรรมสตาร์ทอัพในการอุทิศตนเพื่อเงินดอลลาร์และเงินก้อนโต”

ภัยคุกคามที่กำลังพัฒนาของ TA444

มีองค์ประกอบของ "ย้ายเร็วและทำลายสิ่งของ" ใน TA444

ในช่วงไม่กี่ปีที่ผ่านมา กลุ่มได้ย้ำถึงกลยุทธ์วิศวกรรมสังคมหลายต่อหลายครั้ง บางครั้งก็ส่งข้อความส่วนตัวจากบัญชี LinkedIn ของตัวแทนจากบริษัทที่ถูกกฎหมายที่ถูกแย่งชิง บางครั้งก็ใช้เครื่องมือการตลาดทางอีเมลในทางที่ผิดเพื่อหลีกเลี่ยงตัวกรองสแปม โดยได้พูดคุยกับเหยื่อเป็นภาษาอังกฤษ แต่ยังรวมถึงภาษาญี่ปุ่น โปแลนด์ และสเปนด้วย

ในกรณีแปลก ๆ อย่างหนึ่ง องค์กรดังกล่าวส่งอีเมลถึงองค์กรต่าง ๆ ทั่วทั้งหน่วยงานด้านการดูแลสุขภาพ การศึกษา การเงิน และภาครัฐของสหรัฐฯ โดยใช้เหยื่อล่อฟิชชิ่งที่พิมพ์ผิด อย่างดีที่สุด สิ่งล่อใจของพวกเขาอ้างอิงถึงชื่อแบรนด์เฉพาะในอุตสาหกรรม บางครั้งสัญญาว่าจะขึ้นเงินเดือนหรือโอกาสในการทำงาน แต่ความพยายามในที่นี้ส่วนใหญ่เป็นพื้นฐาน

ในขณะที่กลุ่มอาชญากรไซเบอร์กลุ่มอื่นๆ อาจมุ่งเน้นไปที่การล่อลวงทางสังคมและกลไกการส่งต่อให้สมบูรณ์แบบ นักวิจัยอธิบายว่าการสร้างมัลแวร์คือจุดที่ TA444 สร้างความแตกต่างอย่างแท้จริง

การรวบรวมแบ็คดอร์หลังการเอารัดเอาเปรียบของพวกเขารวมถึงผู้ขโมยข้อมูลรับรอง msoRAT ซึ่งเป็นกรอบการฟอกเงิน SWIFT ไดแพ็คและแบ็คดอร์แบบพาสซีฟต่างๆ และ "ผู้ฟัง" เสมือนสำหรับรับและประมวลผลข้อมูลจากเครื่องเป้าหมาย

“สิ่งนี้ชี้ให้เห็นว่ามีองค์ประกอบการพัฒนามัลแวร์แบบฝังตัวหรืออย่างน้อยก็อุทิศให้กับตัวดำเนินการ TA444” ตามรายงาน

เกาหลีเหนือ: OG Crypto Bro

เพื่อเสริมระบบเศรษฐกิจการบังคับบัญชาที่ไร้ประโยชน์ รัฐบาลเกาหลีเหนือใช้แฮ็กเกอร์มานานแล้วในการระดมทุน โดยกำหนดเป้าหมายที่ใดก็ตามที่มีโอกาสทางการเงินเกิดขึ้น ที่รวมทุกอย่างตั้งแต่ ผู้ค้าปลีกในสหรัฐอเมริกา ไปยัง ระบบธนาคาร SWIFTและในกรณีฉาวโฉ่เรื่องหนึ่ง โลกทั้งใบ.

เนื่องจากบริษัท cryptocurrency มีการป้องกันเพียงเล็กน้อยจากการโจรกรรม การทำธุรกรรมโดยทั่วไปจึงไม่สามารถย้อนกลับได้ และบุคคลในการทำธุรกรรมเหล่านั้นยากที่จะระบุได้ อุตสาหกรรมนี้จึงเต็มไปด้วยอาชญากรรมทางไซเบอร์ที่มีแรงจูงใจทางการเงิน เกาหลีเหนือได้จุ่มลงในบ่อนี้สำหรับ ปีมี รณรงค์ต่อต้านสตาร์ทอัพ, บ็อตเน็ตที่ขุดเหรียญและ แคมเปญ ransomware เรียกร้องการชำระเงิน crypto.

เมื่อปีที่แล้ว ขนาดของการโจรกรรมเพิ่มขึ้นถึงระดับใหม่ บริษัทวิจัย Blockchain Chainalysis ประเมินว่าประเทศเกือบขโมย $ 400 ล้านดอลลาร์ ในสกุลเงินดิจิทัลและสินทรัพย์บล็อกเชนในปี 2021 ในปี 2022 พวกเขาแซงหน้าตัวเลขนั้นด้วยการโจมตีเพียงครั้งเดียว ต่อบริษัทเกมบล็อกเชนชื่อ SkyMavis ซึ่งประเมินว่ามีมูลค่ามากกว่า $ 600 ล้าน ในเวลานั้น เพิ่มการโจมตีอื่นๆ ตลอดทั้งปีปฏิทิน และการโจมตีทั้งหมดก็มาถึง ตัวเลข 10.

"ในขณะที่เราอาจล้อเล่นกับแคมเปญในวงกว้างและความสะดวกในการจัดกลุ่ม" นักวิจัยเตือน "TA444 เป็นศัตรูที่ชาญฉลาดและมีความสามารถ"

รายงานของ Proofpoint ระบุว่าการตรวจสอบ MSHTA, VBS, Powershell และการดำเนินการภาษาสคริปต์อื่นๆ จากกระบวนการหรือไฟล์ใหม่สามารถช่วยตรวจจับกิจกรรม TA444 ได้ นอกจากนี้ยังแนะนำให้ใช้แนวทางปฏิบัติที่ดีที่สุดสำหรับแนวทางการป้องกันเชิงลึกเพื่อต่อสู้กับการบุกรุก TA444: การใช้เครื่องมือตรวจสอบความปลอดภัยของเครือข่าย การใช้แนวทางปฏิบัติในการบันทึกข้อมูลที่มีประสิทธิภาพ โซลูชันปลายทางที่ดี และอุปกรณ์ตรวจสอบอีเมล นอกเหนือจากการฝึกอบรมพนักงานให้ตระหนัก ของกิจกรรมการปล้นที่เกิดจากการติดต่อบน WhatsApp หรือ LinkedIn 

“นอกจากนี้ จากกิจกรรมแคมเปญฟิชชิ่งข้อมูลประจำตัวที่เราสังเกตเห็น การเปิดใช้งานการตรวจสอบสิทธิ์ MFA บนบริการที่เข้าถึงได้จากภายนอกทั้งหมด จะช่วยจำกัดผลกระทบของการถูกขโมยข้อมูลรับรองในที่สุด” นักวิจัยกล่าวทางอีเมล

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/remote-workforce/north-korea-apt-swindled-1b-crypto-investors-2022