Hrozba spojená s Korejskou lidově demokratickou republikou (KLDR) byla zaznamenána při útocích na podniky související s kryptoměnami pomocí vícefázového malwaru schopného infikovat zařízení Apple s macOS. SentinelOne, společnost zabývající se kyberbezpečností, která tuto kampaň nazvala Hidden Risk, ji s vysokou jistotou přisoudila skupině BlueNoroff, která byla dříve spojována s rodinami malwaru jako RustBucket, KANDYKORN, ObjCShellz, RustDoor (známý také jako Thiefbucket) a TodoSwift.
Metoda „využívá e-maily šířící falešné zprávy o trendech v kryptoměnách k infikování cílů prostřednictvím virové aplikace maskované jako PDF soubor,“ uvedli experti Raffaele Sabato, Phil Stokes a Tom Hegel.
„Kampaň pravděpodobně začala již v červenci 2024 a využívá e-mailové a PDF návnady s falešnými titulky nebo příběhy o tématech souvisejících s kryptoměnami.“
Jak odhalil americký Federální úřad pro vyšetřování (FBI) v září 2024, tyto kampaně jsou součástí „vysoce cílených, obtížně detekovatelných útoků“ zaměřených na zaměstnance pracující v sektorech decentralizovaných financí (DeFi) a kryptoměn.
Útoky mají podobu falešných pracovních příležitostí nebo firemních investic, přičemž se s cíli zapojují po delší dobu, aby si získali důvěru před doručením malwaru.
SentinelOne uvedl, že v říjnu 2024 zaznamenal pokus o phishingový útok na průmysl související s kryptoměnami, který doručil aplikaci dropper maskovanou jako PDF soubor („Hidden Risk Behind New Surge of Bitcoin Price.app“) hostovaný na delphidigital[.]org.
Aplikace, napsaná v programovacím jazyce Swift, byla podepsána a notářsky ověřena 19. října 2024 s Apple developer ID „Avantis Regtech Private Limited (2S8XHJ7948).“ Podpis byl od té doby zrušen výrobcem iPhonů.
Po spuštění aplikace stáhne a zobrazí oběti škodlivý PDF soubor získaný z Google Drive, zatímco tajně stáhne druhou část souboru z vzdáleného serveru a spustí ho. Mach-O x86-64 soubor, nepodepsaný binární soubor založený na C++, funguje jako zadní vrátka pro provádění vzdálených příkazů.
Zadní vrátka také obsahují nový mechanismus perzistence, který zneužívá konfigurační soubor zshenv, což je poprvé, kdy byla tato technika zneužita v přírodě autory malwaru.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
Zdroj: ICT NETWORK NEWS
