Lazarus Group atakuje użytkowników komputerów Mac

Lazarus Group, hakerzy z Korei Północnej, ponownie atakują. O ich nowych działaniach pisze firma SentinelOne, zajmująca się cyberbezpieczeństwem.

Hakerzy atakują!

Firma zajmująca się cyberbezpieczeństwem dowiedziała się, że grupa hakerów z Korei Płn. przygotowała fałszywe ogłoszenia o pracę w Crypto.com, jednej z najbardziej znanych giełd kryptowalut, jakie działają dziś na rynku. Wszystko to część „Operacji In(ter)cepcja”. Podobno kampania phishingowa jest skierowana tylko do użytkowników komputerów Mac.

Stwierdzono, że złośliwe oprogramowanie wykorzystywane do włamań jest identyczne jak te wykorzystywane do prób ataków na osoby zainteresowane pracą w Coinbase. W zeszłym miesiącu badacze zaobserwowali bowiem, że członkowie grupy Lazarus wykorzystują fałszywe oferty pracy Coinbase, aby nakłonić użytkowników macOS do pobrania złośliwego oprogramowania.

Głównym narzędziem służącym do ataków są dokumenty PDF, które zawierają oferty pracy dot. różnych stanowisk, takich jak np. Art Director-Concept Art, który miałby zajmować się NFT.

Podając dodatkowe szczegóły dotyczące kampanii hakerskiej, SentinelOne stwierdziło:

Chociaż na tym etapie nie jest jasne, w jaki sposób złośliwe oprogramowanie jest dystrybuowane, wcześniejsze raporty sugerowały, że cyberprzestępcy atakowali ofiary za pomocą specjalnych wiadomości na LinkedIn.

Firma dodaje jednak, że ​​nadal nie jest w pełni jasne, w jaki sposób złośliwe oprogramowanie jest rozpowszechniane i jak działa. Ponoć pierwszy etap ataku polega na utworzeniu nowego folderu w bibliotece użytkownika. Z kolei podstawowym celem drugiego etapu jest wyodrębnienie i wykonanie pliku binarnego, który działa jak downloader z serwera C2.

Jak czytamy dalej, hakerzy “nie podjęli żadnych wysiłków, aby zaszyfrować lub zaciemnić jakiekolwiek pliki binarne”, co może – zdaniem ekspertów –  wskazywać na “krótkoterminowe cele kampanii i/lub niewielki strach przed odkryciem ich działań”.

Niebezpieczne podania o pracę

Warto dodać, że hakerzy nie pierwszy raz korzystają z ofert dot. pracy, by zaatakować swoje ofiary.

Ronin, powiązany z Ethereum sidechain, który stanowi podstawę gry Axie Infinity, w której można zarabiać grając, stracił w marcu 540 milionów dolarów w kryptowalutach z powodu exploita. Służby USA później powiązały incydent z działalnością Lazarus. I tu powodem ataku mogło być… podanie o pracę. Więcej na ten temat przeczytacie tutaj.