Północnokoreańscy cyberprzestępcy ponownie atakują deweloperów i specjalistów kryptowalutowych, wykorzystując rozmowy wideo na Zoomie, aby nakłonić ich do zainstalowania złośliwego oprogramowania.

Hakerzy z Korei Północnej wykorzystują przejęte konta Telegram i deepfake'owe filmy AI, aby podszywać się pod znane kontakty i dostarczać złośliwe pliki, według współzałożyciela BTC Prague Martina Kučařa.

„Kampania hakerska na wysokim poziomie obecnie atakuje użytkowników Bitcoin i kryptowalut. Sam zostałem dotknięty przez przejęte konto Telegram" – napisał Kučař na X.

Według jego wpisu, ofiary otrzymują połączenie od znanego kontaktu, który w rzeczywistości jest przejętym kontem Telegram przejętym przez atakujących. Podczas tych połączeń na żywo, cyberprzestępcy udają przyjaciela ofiary, używając technologii deepfake, pozostając jednocześnie wyciszeni.

Ta cisza działa jak haczyk, ponieważ następny etap ataku polega na przekonaniu ofiary do zainstalowania wtyczki lub pliku, który rzekomo ma naprawić problemy z dźwiękiem. W rzeczywistości plik zawiera złośliwe oprogramowanie, często trojana zdalnego dostępu, który po uruchomieniu zapewnia atakującym pełny dostęp do systemu.

Gdy tylko uzyskają dostęp, atakujący mogą zobaczyć wszystkie kontakty Telegram i ponownie wykorzystać przejęte konto, aby skontaktować się z następną ofiarą w ten sam sposób.

„Natychmiast poinformuj swoich kolegów i sieć kontaktów. Nie dołączaj do niezweryfikowanych połączeń Zoom/Teams" – dodał Kučař.

Badacze bezpieczeństwa z firmy cyberbezpieczeństwa Huntress zaobserwowali, że podobne ataki zostały przeprowadzone przez TA444, północnokoreańską grupę zagrożeń sponsorowaną przez państwo, która działa pod osławioną Lazarus Group.

Północnokoreańscy hakerzy ukradli ponad 300 milionów dolarów 

Chociaż nie jest to nowy wektor ataku, północnokoreańscy hakerzy ukradli już ponad 300 milionów dolarów, używając podobnych technik, jak ostrzegał w zeszłym miesiącu badacz bezpieczeństwa MetaMask Taylor Monahan.

Monahan ostrzegał, że atakujący często polegają na wcześniejszej historii czatu, aby dowiedzieć się więcej o ofiarach, zanim wykorzystają to przeciwko nim, aby zdobyć ich zaufanie.

Najczęstszymi celami są osoby głęboko zaangażowane w przestrzeń kryptowalutową, w tym deweloperzy, pracownicy giełd i kierownictwo firm. W jednym przykładzie z września ubiegłego roku, celowany atak na dyrektora THORchain doprowadził do strat w wysokości około 1,3 miliona dolarów po opróżnieniu portfela MetaMask bez żadnych powiadomień systemowych ani próśb o zatwierdzenie administratora.