Nordkoreansk trusselaktør målretter jobsøgende i kryptovaluta-industrien
En nordkoreansk relateret trusselaktør har målrettet jobsøgende i kryptovaluta-industrien med en ny type malware, der er designet til at stjæle adgangskoder til kryptovaluta-wallets og password managers. Cisco Talos rapporterede onsdag, at de har opdaget en ny Python-baseret fjernadgangstrojaner (RAT), som de har døbt PylangGhost, og som er knyttet til et nordkoreansk hackingkollektiv kaldet Famous Chollima, også kendt som Wagemole. Hackinggruppen har især fokus på jobsøgende og ansatte med erfaring inden for kryptovaluta og blockchain, primært i Indien. Angrebene udføres gennem falske jobsamtalekampagner ved hjælp af social engineering.
“Baseret på de annoncerede stillinger er det klart, at Famous Chollima bredt målretter personer med erfaring inden for kryptovaluta og blockchain-teknologier.”
Falske jobsteder og tests som dække for malware
Angrebene skaber falske jobportaler, der efterligner legitime virksomheder som Coinbase, Robinhood og Uniswap, hvorefter ofrene guides gennem en flertrinsproces. Dette inkluderer indledende kontakt fra falske rekrutteringsfolk, der sender invitations til færdighedstest-websteder, hvor information indsamles.
Herefter lokkes ofrene til at aktivere video- og kameraadgang under falske interviews, hvor de bliver narret til at kopiere og udføre ondsindede kommandoer under påskud af at installere opdaterede videodrivere. Dette fører til kompromittering af deres enhed.
Payload retter sig mod kryptovaluta-wallets
PylangGhost er en variant af den tidligere dokumenterede GolangGhost RAT og deler lignende funktionalitet, ifølge Cisco Talos. Når den aktiveres, muliggør den fjernkontrol af det inficerede system og tyveri af cookies og loginoplysninger fra over 80 browserudvidelser. Disse inkluderer password managers og kryptovaluta-wallets som MetaMask, 1Password, NordPass, Phantom, Bitski, Initia, TronLink og MultiverseX.
Multitasking-malware
Malwaren kan udføre forskellige opgaver og kommandoer, såsom at tage screenshot, administrere filer, stjæle browserdata, indsamle systeminformation og opretholde fjernadgang til inficerede systemer. Forskerne bemærkede også, at det er usandsynligt, at trusselaktørerne har brugt en AI-baseret stor sprogmodel til at hjælpe med at skrive koden, baseret på kommentarerne i den.
Falske jobtilbud er ikke nye
Det er ikke første gang, at nordkoreansk-tilknyttede hackere har brugt falske jobs og interviews til at lokke deres ofre. I april målrettede hackere, der var knyttet til det $1,4 milliarder Bybit-tyveri, kryptovalutaudviklere ved at bruge falske rekrutteringstest inficeret med malware.
