Βορειοκορεάτες χάκερ χρησιμοποιούν ψεύτικες συνεντεύξεις εργασίας για να μολύνουν προγραμματιστές με κακόβουλο λογισμικό πολλαπλών πλατφορμών

Οι Βορειοκορεάτες απειλές έχουν βρει έναν πανούργο τρόπο να στοχεύουν προγραμματιστές λογισμικού: ψεύτικες συνεντεύξεις για δουλειά. Αυτή η ύπουλη μέθοδος έχει σχεδιαστεί για να παρασύρει ανυποψίαστους που αναζητούν εργασία στον κλάδο της τεχνολογίας να κατεβάσουν κακόβουλο λογισμικό που θέτει σε κίνδυνο τόσο την ασφάλειά τους όσο και τα συστήματά τους. Οι ερευνητές ασφαλείας παρατήρησαν αυτήν την καμπάνια, η οποία παρακολουθείται ως CL-STA-0240 και είναι γνωστή ως "Μεταδοτική Συνέντευξη", όπου οι χάκερ παρουσιάζονται ως πιθανοί εργοδότες σε πλατφόρμες εργασίας.

Αυτή η επιχείρηση ήρθε στο φως μέσω μιας αναφοράς της Μονάδας 42 της Palo Alto Networks. Αποκαλύφθηκε για πρώτη φορά τον Νοέμβριο του 2023, αποκαλύπτοντας ότι οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν ενημερωμένες εκδόσεις δύο οικογενειών κακόβουλου λογισμικού: του BeaverTail και του InvisibleFerret.

Πώς εκτυλίσσεται η επίθεση

Το πρώτο σημείο επαφής συμβαίνει στις πλατφόρμες αναζήτησης εργασίας, όπου οι βορειοκορεάτες χάκερ, που παρουσιάζονται ως στρατολόγοι, απευθύνονται σε προγραμματιστές λογισμικού. Διοργανώνουν διαδικτυακές συνεντεύξεις για δουλειά, κερδίζοντας την εμπιστοσύνη των θυμάτων τους μιμούμενοι τις νόμιμες διαδικασίες πρόσληψης. Κατά τη διάρκεια αυτών των λεγόμενων συνεντεύξεων, οι χάκερ πείθουν τους προγραμματιστές να κατεβάσουν αυτό που ισχυρίζονται ότι είναι μια εργασία κωδικοποίησης ή άλλο υλικό που σχετίζεται με την εργασία. Εν αγνοία του θύματος, αυτές οι λήψεις περιέχουν κακόβουλο λογισμικό.

Η διαδικασία μόλυνσης ξεκινά με το πρόγραμμα λήψης BeaverTail, το οποίο είναι ένα κακόβουλο λογισμικό που κλέβει πληροφορίες και στοχεύει συστήματα Windows και macOS. Το BeaverTail λειτουργεί ως γέφυρα για ένα πιο επικίνδυνο δεύτερο στάδιο κακόβουλου λογισμικού: την κερκόπορτα InvisibleFerret, η οποία βασίζεται στη γλώσσα προγραμματισμού Python. Παρά την ευαισθητοποίηση του κοινού για αυτή τη λειτουργία, πρόσφατες αναφορές υποδηλώνουν ότι οι χάκερ που βρίσκονται πίσω από αυτήν την καμπάνια συνεχίζουν να έχουν επιτυχία εξαπατώντας τους προγραμματιστές να εκτελούν εν αγνοία τους κακόβουλο κώδικα.

Το κακόβουλο λογισμικό πολλαπλών πλατφορμών είναι ο εφιάλτης ενός προγραμματιστή

Μια βαθύτερη ανάλυση από ειδικούς στον τομέα της κυβερνοασφάλειας όπως ο Patrick Wardle και η Group-IB δείχνει πόσο εκτεταμένη είναι αυτή η απειλή. Αυτοί οι εισβολείς χρησιμοποιούν ψεύτικες εφαρμογές τηλεδιάσκεψης—όπως πλαστοπροσωπίες του MiroTalk και του FreeConference.com—για να διεισδύσουν σε συστήματα. Αυτές οι ψευδείς εφαρμογές αναπτύσσονται χρησιμοποιώντας το Qt, ένα δημοφιλές πλαίσιο που επιτρέπει τη διασταυρούμενη μεταγλώττιση σε διαφορετικές πλατφόρμες, συμπεριλαμβανομένων των Windows και του macOS.

Η έκδοση του BeaverTail που βασίζεται σε Qt δεν περιορίζεται μόνο σε μία λειτουργία. Έχει τη δυνατότητα να κλέβει κωδικούς πρόσβασης του προγράμματος περιήγησης, καθώς και δεδομένα από πορτοφόλια κρυπτονομισμάτων, καθιστώντας το ιδιαίτερα επικίνδυνο. Διεγείρει δεδομένα σε έναν διακομιστή που ελέγχεται από χάκερ, δίνοντας στους εγκληματίες του κυβερνοχώρου πρόσβαση σε ευαίσθητες προσωπικές και οικονομικές πληροφορίες.

Αφού το BeaverTail έχει κάνει το καθήκον του, εγκαθιστά το InvisibleFerret, το οποίο είναι ικανό για πολύ πιο καταστροφική δραστηριότητα. Αυτό το κακόβουλο λογισμικό περιλαμβάνει δύο κρίσιμα στοιχεία:

1. Ένα κύριο ωφέλιμο φορτίο σχεδιασμένο για τηλεχειρισμό, καταγραφή πλήκτρων, λήψη δακτυλικών αποτυπωμάτων στο μολυσμένο σύστημα και ακόμη και λήψη εργαλείων απομακρυσμένης επιφάνειας εργασίας.
2. Ένα πρόγραμμα κλοπής προγράμματος περιήγησης , το οποίο εξάγει τα διαπιστευτήρια του προγράμματος περιήγησης, συμπεριλαμβανομένων ονομάτων χρήστη, κωδικών πρόσβασης, ακόμη και αποθηκευμένων στοιχείων πιστωτικής κάρτας.

Οικονομικό κίνητρο πίσω από τις επιθέσεις

Οι φορείς απειλών της Βόρειας Κορέας συνδέονται εδώ και καιρό με εγκλήματα στον κυβερνοχώρο με οικονομικά κίνητρα, χρησιμοποιώντας συχνά αυτά τα παράνομα κέρδη για να στηρίξουν το καθεστώς. Η ενότητα 42 υποδηλώνει ότι αυτή η συγκεκριμένη καμπάνια μπορεί να έχει επίσης ισχυρό οικονομικό κίνητρο, ειδικά λαμβάνοντας υπόψη την ικανότητα του κακόβουλου λογισμικού να κλέβει από 13 διαφορετικά πορτοφόλια κρυπτονομισμάτων .

Χρησιμοποιώντας εργαλεία που μπορούν να συλλέξουν πολύτιμα περιουσιακά στοιχεία, όπως κρυπτονομίσματα, διαπιστευτήρια προγράμματος περιήγησης, ακόμη και απομακρυσμένη πρόσβαση, οι χάκερ θα μπορούσαν ενδεχομένως να αποσπάσουν μεγάλα χρηματικά ποσά. Οι κυβερνοεπιθέσεις με οικονομικά κίνητρα, όπως αυτή, αποτελούν ακρογωνιαίο λίθο της στρατηγικής της Βόρειας Κορέας να αποφύγει τις διεθνείς κυρώσεις και να χρηματοδοτήσει τις κυβερνητικές της επιχειρήσεις.

Προστατεύοντας τον εαυτό σας ως προγραμματιστή

Η άνοδος των κυβερνοεπιθέσεων μέσω ψεύτικων συνεντεύξεων για δουλειά σηματοδοτεί μια ανησυχητική αλλαγή στον τρόπο με τον οποίο οι χάκερ στοχεύουν προγραμματιστές και την ευρύτερη τεχνολογική κοινότητα. Ακολουθούν ορισμένα βήματα για να παραμείνετε ασφαλείς:

• Επαλήθευση υπευθύνων προσλήψεων : Ελέγχετε πάντα τις ταυτότητες των υπαλλήλων προσλήψεων ή των εργοδοτών που επικοινωνούν μαζί σας. Μια απλή αναζήτηση στο LinkedIn ή μια επίσκεψη στον επίσημο ιστότοπο της εταιρείας μπορεί να σας βοηθήσει να επιβεβαιώσετε εάν η προσφορά είναι γνήσια.
• Να είστε προσεκτικοί με τις λήψεις : Ποτέ μην πραγματοποιείτε λήψη αρχείων από μη αξιόπιστη πηγή, ειδικά αν προέρχονται από πλατφόρμα ή άτομο που δεν έχετε επαληθεύσει.
• Χρησιμοποιήστε ισχυρά μέτρα ασφαλείας : Διατηρήστε ενημερωμένο το λογισμικό εντοπισμού ιών και κακόβουλου λογισμικού. Σκεφτείτε να χρησιμοποιήσετε κρυπτογραφημένα εργαλεία επικοινωνίας και sandboxing όταν αλληλεπιδράτε με άγνωστες οντότητες στο διαδίκτυο.
• Παρακολούθηση πορτοφολιών κρυπτογράφησης : Εάν ασχολείστε με κρυπτονομίσματα, να είστε ιδιαίτερα προσεκτικοί. Χρησιμοποιήστε πορτοφόλια με ισχυρά χαρακτηριστικά ασφαλείας και παρακολουθήστε στενά τις συναλλαγές για οποιαδήποτε ύποπτη δραστηριότητα.

Σύναψη

Η χρήση ψεύτικων συνεντεύξεων εργασίας από βορειοκορεάτες χάκερ για τη διάδοση κακόβουλου λογισμικού είναι μια ανατριχιαστική υπενθύμιση του πόσο δημιουργικοί και επικίνδυνοι μπορεί να είναι οι εγκληματίες στον κυβερνοχώρο. Με επιθέσεις που στοχεύουν τόσο τις πλατφόρμες Windows όσο και macOS, κανείς δεν είναι πραγματικά ασφαλής από αυτές τις απειλές. Οι προγραμματιστές, ειδικότερα, θα πρέπει να βρίσκονται σε εγρήγορση, καθώς οι χάκερ συνεχίζουν να εκμεταλλεύονται τη διαδικασία αναζήτησης εργασίας για να κλέψουν ευαίσθητα δεδομένα και χρηματοοικονομικά περιουσιακά στοιχεία. Η ενημέρωση, η επαγρύπνηση και η προετοιμασία είναι το κλειδί για την προστασία του εαυτού σας σε αυτή τη νέα εποχή του εγκλήματος στον κυβερνοχώρο.