Phần mềm độc hại 'KandyKorn' macOS thu hút các kỹ sư tiền điện tử

Phần mềm độc hại 'KandyKorn' macOS thu hút các kỹ sư tiền điện tử

Dấu thời gian: 3:2023 chiều ngày 1 tháng 55 năm XNUMX
Phần mềm độc hại macOS 'KandyKorn' thu hút các kỹ sư tiền điện tử Thông minh dữ liệu PlatoBlockchain. Tìm kiếm dọc. Ái.

Nhóm đe dọa dai dẳng (APT) khét tiếng của Triều Tiên Lazarus đã phát triển một dạng phần mềm độc hại macOS có tên “KandyKorn”, loại phần mềm này đang sử dụng để nhắm mục tiêu vào các kỹ sư blockchain được kết nối với các sàn giao dịch tiền điện tử.

Theo một báo cáo từ Phòng thí nghiệm bảo mật đàn hồi, KandyKorn có một bộ khả năng đầy đủ tính năng để phát hiện, truy cập và đánh cắp bất kỳ dữ liệu nào từ máy tính của nạn nhân, bao gồm các ứng dụng và dịch vụ tiền điện tử.

Để cung cấp nó, Lazarus đã thực hiện một cách tiếp cận nhiều giai đoạn liên quan đến ứng dụng Python giả dạng bot chênh lệch giá tiền điện tử (một công cụ phần mềm có khả năng thu lợi từ sự khác biệt về tỷ giá tiền điện tử giữa các nền tảng trao đổi tiền điện tử). Ứng dụng này có các tên gây hiểu lầm, bao gồm “config.py” và “pricetable.py” và được phân phối thông qua máy chủ Discord công cộng.

Sau đó, nhóm này đã sử dụng các kỹ thuật lừa đảo xã hội để khuyến khích nạn nhân tải xuống và giải nén một kho lưu trữ zip vào môi trường phát triển của họ, được cho là có chứa bot. Trên thực tế, tệp này chứa một ứng dụng Python dựng sẵn có chứa mã độc.

Các chuyên gia của Elastic Security cho biết, nạn nhân của cuộc tấn công tin rằng họ đã cài đặt bot chênh lệch giá, nhưng việc khởi chạy ứng dụng Python đã bắt đầu thực thi luồng phần mềm độc hại nhiều bước mà đỉnh điểm là việc triển khai công cụ độc hại KandyKorn.

Quy trình lây nhiễm của phần mềm độc hại KandyKorn

Cuộc tấn công bắt đầu bằng việc thực thi Main.py, nhập Watcher.py. Tập lệnh này kiểm tra phiên bản Python, thiết lập các thư mục cục bộ và truy xuất hai tập lệnh trực tiếp từ Google Drive: TestSpeed.py và FinderTools.

Các tập lệnh này được sử dụng để tải xuống và thực thi một tệp nhị phân bị xáo trộn có tên Sugarloader, chịu trách nhiệm cấp quyền truy cập ban đầu vào máy và chuẩn bị các giai đoạn cuối của phần mềm độc hại, cũng liên quan đến một công cụ có tên Hloader.

Nhóm đe dọa có thể theo dõi toàn bộ lộ trình triển khai phần mềm độc hại và đưa ra kết luận rằng KandyKorn là giai đoạn cuối cùng của chuỗi thực thi.

Sau đó, các quy trình của KandyKorn sẽ thiết lập liên lạc với máy chủ của tin tặc, cho phép nó phân nhánh và chạy ở chế độ nền.

Theo phân tích, phần mềm độc hại không thăm dò thiết bị và ứng dụng đã cài đặt mà chờ lệnh trực tiếp từ tin tặc, điều này làm giảm số lượng điểm cuối và tạo phẩm mạng được tạo ra, do đó hạn chế khả năng bị phát hiện.

Nhóm đe dọa cũng sử dụng tải nhị phân phản chiếu như một kỹ thuật che giấu, giúp phần mềm độc hại vượt qua hầu hết các chương trình phát hiện.

Báo cáo lưu ý: “Các đối thủ thường sử dụng các kỹ thuật che giấu như thế này để vượt qua các khả năng chống phần mềm độc hại dựa trên chữ ký tĩnh truyền thống”.

Sàn giao dịch tiền điện tử đang bị cháy

Các sàn giao dịch tiền điện tử đã phải chịu một loạt các cuộc tấn công đánh cắp khóa riêng vào năm 2023, hầu hết trong số đó được cho là của nhóm Lazarus, nhóm sử dụng lợi nhuận bất chính của mình để tài trợ cho chế độ Triều Tiên. FBI gần đây phát hiện nhóm này có đã chuyển 1,580 bitcoin từ nhiều vụ trộm tiền điện tử, giữ tiền ở sáu địa chỉ bitcoin khác nhau.

Vào tháng 9, những kẻ tấn công đã bị phát hiện nhắm mục tiêu các nhà tạo mô hình 3D và nhà thiết kế đồ họa với các phiên bản độc hại của công cụ cài đặt Windows hợp pháp trong một chiến dịch đánh cắp tiền điện tử đang diễn ra ít nhất là từ tháng 2021 năm XNUMX.

Một tháng trước, các nhà nghiên cứu đã phát hiện ra hai chiến dịch phần mềm độc hại có liên quan, được đặt tên là CherryBlos và FakeTrade, nhắm mục tiêu vào người dùng Android để đánh cắp tiền điện tử và các trò lừa đảo có động cơ tài chính khác.

Mối đe dọa ngày càng tăng từ DPKR

Một báo cáo gần đây của từ Mandiant đã cảnh báo.

Ví dụ, nhà lãnh đạo đất nước, Kim Jong Un, có một con dao quân đội Thụy Sĩ APT tên là Kimsuky, con dao này tiếp tục lan rộng khắp thế giới, cho thấy nó không bị đe dọa bởi các nhà nghiên cứu kết thúc. Kimsuky đã trải qua nhiều lần lặp lại và phát triển, bao gồm cả một sự phân chia hoàn toàn thành hai nhóm nhỏ.

Trong khi đó, nhóm Lazarus dường như đã bổ sung thêm một cửa hậu mới phức tạp và vẫn đang phát triển vào kho vũ khí phần mềm độc hại của nó, lần đầu tiên được phát hiện trong một cuộc tấn công mạng thành công của một công ty hàng không vũ trụ Tây Ban Nha.

Dấu thời gian:

Thêm từ Đọc tối