У 1 році найкращий APT Північної Кореї отримав від криптоінвесторів 2022 мільярд доларів

Минулого року індустрія блокчейнів втратила гроші, коли світовий ринок криптовалют впав на 63%. Але інвестори втрачали гроші не лише через недороблені монети та надто розкручені NFT.

В звітом Дослідники з Proofpoint, опубліковані сьогодні, детально описали, як підтримуваним державою північнокорейським хакерам вдалося викачати понад 1 мільярд доларів у криптовалютах та інших блокчейн-активах у 2022 календарному році (ще більш вражаюче, якщо врахувати наскільки пригнічені ці активи став).

Proofpoint пояснив успіх групи TA444 та пов’язаних з нею кластерів — які по-різному називаються APT38, Bluenoroff, BlackAlicanto, Stardust Chollima та Copernicium — їхнім підходом, схожим на стартап.

За словами дослідників, відмінні риси включають «швидку ітерацію, тестування продуктів на льоту та невдачу». Група регулярно експериментує з новими методами вторгнення, а останніми роками перебирає різні й кращі шкідливі програми.

«Хоча ми не знаємо, чи є у групи на робочому місці столи для пінг-понгу чи бочки з якимось переоціненим IPA, — пишуть автори, — TA444 справді відображає культуру стартапів у своїй відданості долару та роботі».

Еволюція загрози TA444

У TA444 є елемент «рухайся швидко і ламай речі».

В останні роки група багато разів повторювала свою тактику соціальної інженерії. Іноді він надсилав приватні повідомлення зі зламаних облікових записів LinkedIn представників законних компаній, іноді він зловживав інструментами електронного маркетингу, щоб обійти фільтри спаму. Він спілкувався з жертвами англійською, а також японською, польською та іспанською мовами.

В одному дивному випадку він розсилав електронною поштою організації в галузі охорони здоров’я, освіти, фінансів і державних установах США, використовуючи безсистемні фішингові приманки з друкарськими помилками. У найкращому випадку їхні спокуси посилалися на конкретні бренди в галузі, іноді обіцяючи підвищення зарплати або можливості працевлаштування, але зусилля тут були в основному рудиментарними.

У той час як інші групи кіберзлочинців можуть зосередитися на вдосконаленні соціальних спокус і механізмів доставки, дослідники пояснили, що TA444 справді вирізняється створенням шкідливих програм.

Їхня колекція бекдорів після експлуатації включала викрадач облікових даних msoRAT, систему відмивання грошей SWIFT ФАРБУВАЧ, а також різні пасивні бекдори та віртуальні «слухачі» для отримання та обробки даних від цільових машин.

«Це свідчить про те, що поряд з операторами TA444 існує вбудований або, принаймні, спеціальний елемент розробки шкідливого програмного забезпечення», — йдеться у звіті.

Північна Корея: The OG Crypto Bro

Щоб доповнити свою погану командну економіку, уряд Північної Кореї вже давно використовує хакерів для збору коштів, націлюючись на будь-які фінансові можливості. Це включає все, починаючи з роздрібні торговці в Сполучених Штатах до банківська система SWIFT, і в одному горезвісному випадку, весь світ.

Оскільки криптовалютні компанії пропонують небагато засобів захисту від крадіжок, транзакції, як правило, незворотні, а учасників цих транзакцій важко ідентифікувати, галузь рясніє фінансово мотивованою кіберзлочинністю. Північна Корея занурювалася в цей колодязь років, С кампанії проти стартапів, ботнети, які майнить монети та кампанії програм-вимагачів, що вимагають криптоплатежів.

Проте торік масштаби крадіжок вийшли на новий рівень. Дослідницька компанія Chainalysis оцінила, що країна майже вкрала $ 400 мільйонів доларів у криптовалюті та блокчейн-активах у 2021 році. У 2022 році вони перевищили цю цифру за допомогою однієї атаки — на компанію блокчейн-ігор під назвою SkyMavis — оцінюється вартістю понад $ 600 мільйонів в той час. Додайте інші атаки протягом календарного року, і їх загальна кількість досягне Цифри 10.

«Хоча ми можемо висміювати його широкі кампанії та легкість кластеризації, — попереджають дослідники, — TA444 — це спритний і здібний супротивник».

У звіті Proofpoint зазначено, що моніторинг виконання MSHTA, VBS, Powershell та іншої мови сценаріїв з нових процесів або файлів може допомогти виявити активність TA444. Він також рекомендував використовувати найкращі практики для підходу до поглибленого захисту для боротьби з вторгненнями TA444: використання інструментів моніторингу безпеки мережі, використання надійних практик журналювання, хороше рішення кінцевої точки та пристрій моніторингу електронної пошти, на додаток до навчання персоналу пограбування, яке є результатом контакту в WhatsApp або LinkedIn. 

«Крім того, враховуючи активність кампанії з фішингу облікових даних, яку ми спостерігали, увімкнення автентифікації MFA для всіх доступних іззовні служб допомогло б обмежити вплив облікових даних, які врешті-решт будуть викрадені», — повідомили дослідники електронною поштою.

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• Платоблокчейн. Web3 Metaverse Intelligence. Розширені знання. Доступ тут.
• джерело: https://www.darkreading.com/remote-workforce/north-korea-apt-swindled-1b-crypto-investors-2022