Nordkoreanska hackare använder falska jobbintervjuer för att infektera utvecklare med plattformsoberoende skadlig programvara

Nordkoreanska hotaktörer har hittat ett listigt sätt att rikta in sig på mjukvaruutvecklare: falska anställningsintervjuer. Denna lömska metod är utformad för att locka intet ont anande arbetssökande inom teknikindustrin att ladda ner skadlig programvara som äventyrar både deras säkerhet och deras system. Säkerhetsforskare har observerat denna kampanj, spårad som CL-STA-0240 och känd som "Contagious Interview", där hackare poserar som potentiella arbetsgivare på jobbplattformar.

Denna operation har kommit fram genom en rapport från Palo Alto Networks enhet 42. Den avslöjades först i november 2023, och avslöjade att cyberbrottslingar använder uppdaterade versioner av två skadliga programfamiljer: BeaverTail och InvisibleFerret.

Hur attacken utvecklas

Den första kontaktpunkten sker på jobbsökningsplattformar, där nordkoreanska hackare, som utger sig för att vara rekryterare, når ut till mjukvaruutvecklare. De arrangerar anställningsintervjuer online och vinner förtroende från sina offer genom att imitera legitima anställningsprocesser. Under dessa så kallade intervjuer övertygar hackarna utvecklarna att ladda ner vad de säger sig vara en kodningsuppgift eller annat arbetsrelaterat material. Utan offrets vetskap innehåller dessa nedladdningar skadlig programvara.

Infektionsprocessen börjar med nedladdningsprogrammet BeaverTail, som är en skadlig programvara som stjäl information som riktar sig till både Windows- och macOS-system. BeaverTail fungerar som en bro för ett farligare andra skede av skadlig programvara: InvisibleFerret-bakdörren, som är baserad på programmeringsspråket Python. Trots allmänhetens medvetenhet om denna operation, tyder färska rapporter på att hackarna bakom denna kampanj fortsätter att uppleva framgång genom att lura utvecklare att omedvetet köra skadlig kod.

Cross-Platform Malware är en utvecklares mardröm

En djupare analys av cybersäkerhetsexperter som Patrick Wardle och Group-IB visar hur långtgående detta hot är. Dessa angripare använder falska videokonferensapplikationer – som imitationer av MiroTalk och FreeConference.com – för att infiltrera system. Dessa falska applikationer är utvecklade med Qt, ett populärt ramverk som möjliggör korskompilering över olika plattformar, inklusive Windows och macOS.

Den Qt-baserade versionen av BeaverTail är inte bara begränsad till en funktion. Den har förmågan att stjäla webbläsarlösenord, såväl som data från kryptovaluta plånböcker, vilket gör det särskilt farligt. Det exfiltrerar data till en hackerkontrollerad server, vilket ger cyberkriminella tillgång till känslig personlig och ekonomisk information.

Efter att BeaverTail har gjort sitt installerar den InvisibleFerret, som är kapabel till mycket mer destruktiv aktivitet. Denna skadliga programvara innehåller två viktiga komponenter:

1. En huvudsaklig nyttolast designad för fjärrkontroll, tangentloggning, fingeravtryck av det infekterade systemet och till och med nedladdning av fjärrskrivbordsverktyg.
2. En webbläsarstöldare , som extraherar webbläsaruppgifter, inklusive användarnamn, lösenord och till och med lagrad kreditkortsinformation.

Ekonomisk motivation bakom attackerna

Nordkoreanska hotaktörer har länge förknippats med ekonomiskt motiverade cyberbrott och använder ofta dessa olagliga vinster för att stödja regimen. Enhet 42 antyder att denna speciella kampanj också kan ha ett starkt ekonomiskt motiv, särskilt med tanke på skadlig programvaras förmåga att stjäla från 13 olika kryptovaluta-plånböcker .

Genom att använda verktyg som kan skörda värdefulla tillgångar som kryptovaluta, webbläsaruppgifter och till och med fjärråtkomst, kan hackarna potentiellt ta bort stora summor pengar. Ekonomiskt motiverade cyberattacker, som den här, är en hörnsten i Nordkoreas strategi för att undvika internationella sanktioner och finansiera dess statliga verksamhet.

Skydda dig själv som utvecklare

Ökningen av cyberattacker via falska anställningsintervjuer signalerar en oroande förändring i hur hackare riktar sig mot utvecklare och det bredare tekniska samhället. Här är några steg för att vara säker:

• Verifiera rekryterare : Korskolla alltid identiteten på rekryterare eller arbetsgivare som kontaktar dig. En enkel LinkedIn-sökning eller ett besök på företagets officiella hemsida kan hjälpa dig att bekräfta om erbjudandet är äkta.
• Var försiktig med nedladdningar : Ladda aldrig ner filer från en opålitlig källa, särskilt om de kommer från en plattform eller individ som du inte har verifierat.
• Använd starka säkerhetsåtgärder : Håll din antivirus- och skadlig programvara uppdaterad. Överväg att använda krypterade kommunikations- och sandlådeverktyg när du interagerar med okända enheter online.
• Övervaka kryptoplånböcker : Om du är inblandad i kryptovaluta, var särskilt vaksam. Använd plånböcker med starka säkerhetsfunktioner och övervaka transaktioner noga för eventuella misstänkta aktiviteter.

Slutsats

Användningen av falska anställningsintervjuer av nordkoreanska hackare för att sprida skadlig programvara är en skrämmande påminnelse om hur kreativa och farliga cyberbrottslingar kan vara. Med attacker riktade mot både Windows- och macOS-plattformar är ingen riktigt säker från dessa hot. Utvecklare, i synnerhet, bör vara på hög beredskap, eftersom hackare fortsätter att utnyttja jobbsökningsprocessen för att stjäla känslig data och finansiella tillgångar. Att hålla sig informerad, vaksam och förberedd är nyckeln till att skydda dig själv i denna nya era av cyberbrottslighet.