Ny Cyberangrebs-kampagne fra Nordkorea
Nordkoreanske hackere har lanceret en ny cyberangrebs-kampagne, der retter sig mod kryptovaluta-virksomheder ved at implementere en sofistikeret malware-streng kendt som NimDoor. Denne malware er designet til at infiltrere Apple-enheder og omgå indbyggede hukommelsesbeskyttelser for at udtrække følsomme data fra kryptovaluta-wallets og browsere.
Angrebsmetode
Angrebet begynder med social engineering-taktikker på platforme som Telegram, hvor hackere udgiver sig for at være betroede kontakter for at engagere ofrene i samtale. De inviterer derefter målet til et falsk Zoom-møde, forklædt som en Google Meet-session, og sender en fil, der efterligner en legitim Zoom-opdatering. Denne fil fungerer som leveringsmetoden for den ondsindede payload.
Når den køres, installerer malware’en NimDoor på offerets enhed, som derefter indsamler følsomme oplysninger, specifikt rettet mod kryptovaluta-wallets og gemte browser-legitimationsoplysninger.
Teknologisk Innovation
Forskere fra cybersikkerhedsfirmaet SentinelLabs har afdækket denne nye taktik og bemærket, at brugen af Nim-programmeringssproget adskiller denne malware fra andre. Nim-kompilerede binære filer ses sjældent målrette mod macOS, hvilket gør malware’en mindre genkendelig for konventionelle sikkerhedsværktøjer og potentielt sværere at analysere og opdage.
Forskerne observerede, at nordkoreanske trusselaktører tidligere har eksperimenteret med programmeringssprog som Go og Rust, men skiftet til Nim afspejler en strategisk fordel på grund af dets tværplatformskapaciteter. Dette gør det muligt for den samme kodebase at køre på Windows, Linux og macOS uden ændringer, hvilket øger effektiviteten og rækkevidden af deres angreb.
Ondsindet Payload
Den ondsindede payload inkluderer en komponent til stjæling af legitimationsoplysninger, der er konstrueret til diskret at indsamle browser- og systemniveau-data, samle oplysningerne og transmittere dem til angriberne. Derudover identificerede forskerne et script inden for malware’en, der retter sig mod Telegram ved at udtrække både dens krypterede lokale database og de tilsvarende dekrypteringsnøgler.
Bemærkelsesværdigt er det, at malware’en anvender en forsinket aktiveringsmekanisme, der venter ti minutter, før den udfører sine operationer i et tilsyneladende forsøg på at undgå sikkerhedsscannere.
