Beruchte Lazarus-groep probeerde een cyberaanval uit, beweert medeoprichter van deBridge

De "Lazarus Group", een berucht door Noord-Korea gesteund hackingsyndicaat, is geïdentificeerd als de boosdoener van een poging tot cyberaanval op deBridge Finance. De mede-oprichter van het cross-chain-protocol en projectleider, Alex Smirnov, beweerde dat de aanvalsvector was via een e-mail waarin verschillende teamleden een pdf-bestand met de naam "Nieuwe salarisaanpassingen" ontvingen van een vervalst adres dat een spiegelbeeld was van dat van de exec.

Terwijl deBridge Finance erin slaagde de phishing-aanval te verijdelen, waarschuwde Smirnov dat de frauduleuze campagne waarschijnlijk wijdverbreid is gericht op web3-gerichte platforms.

Poging tot aanval op deBridge

Volgens een lange Twitter draad door de exec markeerden de meeste teamleden de verdachte e-mail onmiddellijk, maar één downloadde en opende het bestand. Dit hielp hen de aanvalsvector te onderzoeken en de gevolgen ervan te begrijpen.

Smirnov legde verder uit dat macOS-gebruikers veilig zijn, omdat het openen van de link op een Mac zou leiden tot een zip-archief met het normale PDF-bestand Adjustments.pdf. Aan de andere kant zijn Windows-systemen niet immuun voor de gevaren. In plaats daarvan zullen Windows-gebruikers worden doorverwezen naar een archief met een dubieuze, met een wachtwoord beveiligde pdf met dezelfde naam en een extra bestand met de naam Password.txt.lnk.

Het tekstbestand zou in wezen het systeem infecteren. Als zodanig zal een gebrek aan antivirussoftware het kwaadaardige bestand helpen om de machine binnen te dringen en zal het worden opgeslagen in de autostart-map, waarna een eenvoudig script herhaalde verzoeken begint te verzenden om met de aanvaller te communiceren om instructies te ontvangen.

"De aanvalsvector is als volgt: gebruiker opent een link vanuit e-mail -> downloads & opent archief -> probeert PDF te openen, maar PDF vraagt ​​om een ​​wachtwoord -> gebruiker opent password.txt.lnk en infecteert het hele systeem."

De mede-oprichter drong er vervolgens bij de bedrijven en hun werknemers op aan om nooit e-mailbijlagen te openen zonder het volledige e-mailadres van de afzender te verifiëren en om een ​​intern protocol te hebben voor hoe teams bijlagen delen.

"Blijf alsjeblieft SAFU en deel deze thread om iedereen op de hoogte te stellen van mogelijke aanvallen."

Lazarus-aanvallers die zich richten op crypto

De door de staat gesponsorde Noord-Koreaanse hackgroepen zijn berucht vanwege het uitvoeren van financieel gemotiveerde aanvallen. Lazarus voerde bijvoorbeeld veel spraakmakende aanvallen uit op crypto-uitwisselingen, NFT-marktplaatsen en individuele beleggers met aanzienlijke belangen. De laatste aanval lijkt veel op eerdere aanvallen van het hacksyndicaat.

Te midden van de COVID-19-uitbraak, cybercriminaliteit onder leiding van Lazarus zagen een enorme opwaartse trend. Meer recentelijk stal de groep eerder dit jaar meer dan $ 620 miljoen van de Ronin-brug van Axie Infinity.

In feite rapporteren ook onthullen dat het cyberprogramma van het land groot en goed georganiseerd is, ondanks dat het economisch geïsoleerd is van de rest van de wereld. Volgens meerdere bronnen van de Amerikaanse overheid hebben deze entiteiten zich ook aangepast aan Web3 en richten ze zich momenteel op de gedecentraliseerde financiële ruimte.