Nordkoreanske Trusselaktører og EtherHiding
Nordkoreanske trusselaktører har taget en blockchain-baseret teknik i brug kaldet EtherHiding for at levere malware designet til at stjæle kryptovaluta, herunder XRP. Ifølge Googles Threat Intelligence Group (GTIG) er dette første gang, en statsaktør har observeret brugen af denne metode.
Metoden og Dens Mål
Metoden indlejrer ondsindede JavaScript-payloads i blockchain-smart contracts for at skabe modstandsdygtige kommandoservere. EtherHiding-teknikken målretter udviklere inden for kryptovaluta og teknologisektorer gennem social engineering-kampagner, der er blevet sporet som “Contagious Interview.” Kampagnen har ført til adskillige kryptovaluta-heists, der påvirker XRP-indehavere og brugere af andre digitale aktiver.
Hvordan EtherHiding Fungerer
EtherHiding gemmer ondsindet kode på decentraliserede og tilladelsesfrie blockchains og fjerner centrale servere, som retshåndhævelse eller cybersikkerhedsfirmaer kan nedlægge. Angribere, der kontrollerer smart contracts, kan opdatere ondsindede payloads når som helst og opretholde vedvarende adgang til kompromitterede systemer.
Udfordringer ved Opdagelse
Sikkerhedsforskere kan mærke kontrakter som ondsindede på blockchain-scannere som BscScan, men ondsindet aktivitet fortsætter uanset disse advarsler. Googles rapport beskriver EtherHiding som et “skift mod næste generations kuglesikre hosting“, hvor blockchain-teknologiens funktioner muliggør ondsindede formål.
Interaktion med Kompromitterede Websteder
Når brugere interagerer med kompromitterede websteder, aktiveres koden for at stjæle XRP, andre kryptovalutaer og følsomme data. De kompromitterede websteder kommunikerer med blockchain-netværk ved hjælp af read-only funktioner, der undgår at skabe ledger-transaktioner. Dette minimerer opdagelse og transaktionsgebyrer.
Social Engineering Taktikker
Contagious Interview-kampagnen centrerer sig om social engineering-taktikker, der efterligner legitime rekrutteringsprocesser gennem falske rekrutterere og fabrikerede virksomheder. Falske rekrutterere lokker kandidater ind på platforme som Telegram eller Discord, hvorefter de leverer malware gennem vildledende kodningstests eller falske softwaredownloads, der er forklædt som tekniske vurderinger.
Multi-Stage Malware Infektion
Kampagnen anvender multi-stage malware-infektion, herunder varianter som JADESNOW, BEAVERTAIL og INVISIBLEFERRET, der påvirker Windows, macOS og Linux-systemer. Ofrene tror, de deltager i legitime jobsamtaler, mens de uvidende downloader malware designet til at opnå vedvarende adgang til virksomheders netværk og stjæle kryptovaluta-beholdninger.
