Šiaurės Korėjos įsilaužėliai naudoja netikrus darbo pokalbius, kad užkrėstų kūrėjus kelių platformų kenkėjiška programa

Šiaurės Korėjos grėsmės veikėjai rado gudrų būdą, kaip nusitaikyti į programinės įrangos kūrėjus: netikrus darbo pokalbius. Šis klastingas metodas sukurtas siekiant privilioti nieko neįtariančius darbo ieškančius technologijų pramonės atstovus atsisiųsti kenkėjiškų programų, kurios kelia pavojų jų saugumui ir sistemoms. Saugumo tyrinėtojai stebėjo šią kampaniją, pažymėtą CL-STA-0240 ir vadinamą „Užkrečiamu interviu“, kurioje įsilaužėliai prisistato kaip potencialūs darbdaviai darbo platformose.

Ši operacija paaiškėjo iš „Palo Alto Networks“ 42 skyriaus ataskaitos. Pirmą kartą ji buvo atskleista 2023 m. lapkritį, atskleidžiant, kad kibernetiniai nusikaltėliai naudoja atnaujintas dviejų kenkėjiškų programų šeimų versijas: „BeaverTail“ ir „InvisibleFerret“.

Kaip vystosi puolimas

Pirmasis kontaktas nutinka darbo paieškos platformose, kur Šiaurės Korėjos įsilaužėliai, apsimetę verbuotojais, kreipiasi į programinės įrangos kūrėjus. Jie organizuoja internetinius darbo pokalbius, įgydami aukų pasitikėjimą imituodami teisėtus įdarbinimo procesus. Šių vadinamųjų interviu metu įsilaužėliai įtikina kūrėjus atsisiųsti, jų teigimu, kodavimo užduotį ar kitą su darbu susijusią medžiagą. Aukai to nežinant, šiuose atsisiuntimuose yra kenkėjiškos programinės įrangos.

Užkrėtimo procesas prasideda nuo „BeaverTail“ atsisiuntimo programos, kuri yra informaciją vagianti kenkėjiška programa, skirta tiek „Windows“, tiek „MacOS“ sistemoms. „BeaverTail“ veikia kaip tiltas į pavojingesnę antrąją kenkėjiškų programų stadiją: „InvisibleFerret“ užpakalines duris, kurios yra paremtos „Python“ programavimo kalba. Nepaisant visuomenės informuotumo apie šią operaciją, naujausiuose pranešimuose teigiama, kad šios kampanijos įsilaužėliai ir toliau patiria sėkmę apgaudinėdami kūrėjus nesąmoningai paleisti kenkėjišką kodą.

Kelių platformų kenkėjiška programa yra kūrėjo košmaras

Gilesnė kibernetinio saugumo ekspertų, tokių kaip Patrick Wardle ir Group-IB, analizė rodo, kokia didelė ši grėsmė yra. Šie užpuolikai naudoja netikras vaizdo konferencijų programas, tokias kaip MiroTalk ir FreeConference.com apsimetinėjimas, kad įsiskverbtų į sistemas. Šios netikros programos kuriamos naudojant Qt – populiarią sistemą, leidžiančią atlikti kryžminį kompiliavimą įvairiose platformose, įskaitant „Windows“ ir „MacOS“.

Qt pagrindu sukurta BeaverTail versija neapsiriboja viena funkcija. Ji turi galimybę pavogti naršyklės slaptažodžius, taip pat duomenis iš kriptovaliutų piniginių, todėl tai ypač pavojinga. Ji išfiltruoja duomenis į įsilaužėlių valdomą serverį, suteikdama kibernetiniams nusikaltėliams prieigą prie jautrios asmeninės ir finansinės informacijos.

Atlikęs savo vaidmenį, „BeaverTail“ įdiegia „InvisibleFerret“, kuris gali atlikti daug žalingesnę veiklą. Šią kenkėjišką programą sudaro du svarbūs komponentai:

1. Pagrindinis krovinys , skirtas nuotoliniam valdymui, klavišų registravimui, užkrėstos sistemos pirštų atspaudų paėmimui ir net nuotolinio darbalaukio įrankių atsisiuntimui.
2. Naršyklės vagystė , kuri ištraukia naršyklės kredencialus, įskaitant naudotojų vardus, slaptažodžius ir net saugomą kredito kortelės informaciją.

Finansinė motyvacija už atakų

Šiaurės Korėjos grėsmės veikėjai ilgą laiką buvo siejami su finansiškai motyvuotais elektroniniais nusikaltimais, dažnai pasinaudodami šiais neteisėtais pelnais režimui palaikyti. 42 skyrius rodo, kad ši kampanija taip pat gali turėti stiprų finansinį motyvą, ypač turint omenyje kenkėjiškos programos galimybę pavogti iš 13 skirtingų kriptovaliutų piniginių .

Naudodami įrankius, kurie gali surinkti vertingą turtą, pvz., kriptovaliutą, naršyklės kredencialus ir net nuotolinę prieigą, įsilaužėliai gali išsiurbti dideles pinigų sumas. Finansiškai motyvuotos kibernetinės atakos, tokios kaip ši, yra kertinis Šiaurės Korėjos strategijos, kuria siekiama išvengti tarptautinių sankcijų ir finansuoti vyriausybės operacijas, akmuo.

Apsaugokite save kaip kūrėją

Kibernetinių atakų dažnis per netikrus darbo pokalbius rodo nerimą keliantį pokytį, kaip įsilaužėliai taikosi į kūrėjus ir platesnę technologijų bendruomenę. Štai keli žingsniai, kaip apsisaugoti:

• Patvirtinkite įdarbintojus : visada patikrinkite įdarbintojų ar darbdavių, kurie su jumis susisiekia, tapatybes. Paprasta „LinkedIn“ paieška arba apsilankymas oficialioje įmonės svetainėje gali padėti patvirtinti, ar pasiūlymas tikras.
• Būkite atsargūs atsisiųsdami : niekada neatsisiųskite failų iš nepatikimo šaltinio, ypač jei jie yra iš platformos ar asmens, kurio nepatvirtinote.
• Naudokite stiprias saugos priemones : atnaujinkite antivirusinę ir kenkėjiškų programų aptikimo programinę įrangą. Bendraudami su nežinomais subjektais internete apsvarstykite galimybę naudoti šifruotus ryšio ir smėlio dėžės įrankius.
• Stebėkite kriptovaliutų pinigines : jei užsiimate kriptovaliutų naudojimu, būkite ypač budrūs. Naudokite pinigines su stipriomis apsaugos funkcijomis ir atidžiai stebėkite operacijas, ar neatsiranda bet kokios įtartinos veiklos.

Išvada

Šiaurės Korėjos įsilaužėlių suklastotų darbo pokalbių naudojimas kenkėjiškų programų platinimui yra šiurpinantis priminimas, kokie kūrybingi ir pavojingi gali būti kibernetiniai nusikaltėliai. Dėl atakų, nukreiptų į „Windows“ ir „MacOS“ platformas, niekas nėra tikrai apsaugotas nuo šių grėsmių. Visų pirma kūrėjai turėtų būti labai budrūs, nes įsilaužėliai ir toliau naudojasi darbo paieškos procesu, kad pavogtų neskelbtinus duomenis ir finansinį turtą. Norint apsisaugoti šioje naujoje elektroninių nusikaltimų eroje, būtina išlikti informuotam, budriam ir pasiruošusiam.