Noord-Koreaanse hackers gebruiken nep-sollicitatiegesprekken om ontwikkelaars te infecteren met cross-platform malware

Noord-Koreaanse dreigingsactoren hebben een sluwe manier gevonden om softwareontwikkelaars te targeten: nep-sollicitatiegesprekken. Deze sluwe methode is ontworpen om nietsvermoedende werkzoekenden in de techindustrie te verleiden malware te downloaden die zowel hun beveiliging als hun systemen in gevaar brengt. Beveiligingsonderzoekers hebben deze campagne, gevolgd als CL-STA-0240 en bekend als "Contagious Interview", geobserveerd, waarbij hackers zich voordoen als potentiële werkgevers op vacatureplatforms.

Deze operatie is aan het licht gekomen door een rapport van Unit 42 van Palo Alto Networks. Het werd voor het eerst bekendgemaakt in november 2023, waarin werd onthuld dat cybercriminelen bijgewerkte versies van twee malwarefamilies gebruiken: BeaverTail en InvisibleFerret.

Hoe de aanval zich ontvouwt

Het eerste contactpunt vindt plaats op vacatureplatforms, waar Noord-Koreaanse hackers, die zich voordoen als recruiters, contact opnemen met softwareontwikkelaars. Ze regelen online sollicitatiegesprekken en winnen het vertrouwen van hun slachtoffers door legitieme sollicitatieprocedures na te bootsen. Tijdens deze zogenaamde interviews overtuigen de hackers de ontwikkelaars om te downloaden wat zij beweren een codeeropdracht of ander werkgerelateerd materiaal te zijn. Zonder dat het slachtoffer het weet, bevatten deze downloads schadelijke software.

Het infectieproces begint met de BeaverTail-downloader, een informatie-stelende malware die gericht is op zowel Windows- als macOS-systemen. BeaverTail fungeert als een brug voor een gevaarlijkere tweede fase van malware: de InvisibleFerret-backdoor, die is gebaseerd op de programmeertaal Python. Ondanks het publieke bewustzijn van deze operatie, suggereren recente rapporten dat de hackers achter deze campagne nog steeds succes boeken door ontwikkelaars te misleiden om onbewust schadelijke code uit te voeren.

Cross-platform malware is een nachtmerrie voor ontwikkelaars

Een diepere analyse door cybersecurity-experts als Patrick Wardle en Group-IB laat zien hoe ver deze dreiging reikt. Deze aanvallers gebruiken nep-videoconferentietoepassingen, zoals imitaties van MiroTalk en FreeConference.com, om systemen te infiltreren. Deze neptoepassingen worden ontwikkeld met Qt, een populair framework dat cross-compilatie op verschillende platforms mogelijk maakt, waaronder Windows en macOS.

De Qt-gebaseerde versie van BeaverTail is niet beperkt tot één functie. Het heeft de mogelijkheid om browserwachtwoorden te stelen, evenals gegevens van cryptocurrency wallets, wat het bijzonder gevaarlijk maakt. Het exfiltreert gegevens naar een door hackers gecontroleerde server, waardoor cybercriminelen toegang krijgen tot gevoelige persoonlijke en financiële informatie.

Nadat BeaverTail zijn deel heeft gedaan, installeert het InvisibleFerret, dat in staat is tot veel destructievere activiteiten. Deze malware bevat twee kritieke componenten:

1. Een belangrijke payload die is ontworpen voor bediening op afstand, keylogging, vingerafdrukken van het geïnfecteerde systeem en zelfs het downloaden van hulpmiddelen voor externe bureaubladen.
2. Een browserstealer die browsergegevens ontvreemdt, zoals gebruikersnamen, wachtwoorden en zelfs opgeslagen creditcardgegevens.

Financiële motivatie achter de aanvallen

Noord-Koreaanse dreigingsactoren worden al lang geassocieerd met financieel gemotiveerde cybercriminaliteit, waarbij ze deze illegale winsten vaak gebruiken om het regime te steunen. Unit 42 suggereert dat deze specifieke campagne ook een sterk financieel motief kan hebben, vooral gezien het vermogen van de malware om te stelen van 13 verschillende cryptocurrency wallets .

Door tools te gebruiken die waardevolle activa kunnen oogsten, zoals cryptocurrency, browserreferenties en zelfs externe toegang, zouden de hackers potentieel grote sommen geld kunnen wegsluizen. Financieel gemotiveerde cyberaanvallen, zoals deze, vormen een hoeksteen van de strategie van Noord-Korea om internationale sancties te ontwijken en zijn overheidsoperaties te financieren.

Uzelf beschermen als ontwikkelaar

De opkomst van cyberaanvallen via nep-sollicitatiegesprekken is een teken van een verontrustende verschuiving in de manier waarop hackers ontwikkelaars en de bredere tech-community targeten. Hier zijn enkele stappen om veilig te blijven:

• Verifieer recruiters : controleer altijd de identiteit van recruiters of werkgevers die contact met u opnemen. Een simpele LinkedIn-zoekopdracht of een bezoek aan de officiële website van het bedrijf kan u helpen bevestigen of het aanbod echt is.
• Wees voorzichtig met downloads : download nooit bestanden van een niet-vertrouwde bron, vooral niet als ze afkomstig zijn van een platform of persoon die u niet hebt geverifieerd.
• Gebruik sterke beveiligingsmaatregelen : Houd uw antivirus- en malwaredetectiesoftware up-to-date. Overweeg het gebruik van gecodeerde communicatie- en sandboxingtools bij interactie met onbekende entiteiten online.
• Houd crypto wallets in de gaten : Als u betrokken bent bij cryptocurrency, wees dan extra waakzaam. Gebruik wallets met sterke beveiligingsfuncties en houd transacties nauwlettend in de gaten op verdachte activiteiten.

Conclusie

Het gebruik van nep-sollicitatiegesprekken door Noord-Koreaanse hackers om malware te verspreiden, is een huiveringwekkende herinnering aan hoe creatief en gevaarlijk cybercriminelen kunnen zijn. Met aanvallen die gericht zijn op zowel Windows- als macOS-platforms, is niemand echt veilig voor deze bedreigingen. Vooral ontwikkelaars moeten op hun hoede zijn, aangezien hackers het sollicitatieproces blijven misbruiken om gevoelige gegevens en financiële activa te stelen. Geïnformeerd, waakzaam en voorbereid blijven is essentieel om uzelf te beschermen in dit nieuwe tijdperk van cybercriminaliteit.