Notorious Lazarus Group próbował cyberataku, twierdzi, że jest współzałożycielem deBridge

„Lazarus Group”, znany syndykat hakerski wspierany przez Koreę Północną, został zidentyfikowany jako sprawca próby cyberataku na deBridge Finance. Współtwórca protokołu cross-chain i kierownik projektu, Alex Smirnov, twierdził, że wektor ataku pochodził za pośrednictwem wiadomości e-mail, w której kilku członków zespołu otrzymało plik PDF o nazwie „Nowe korekty wynagrodzeń” z sfałszowanego adresu, który odzwierciedlał adres dyrektora.

Podczas gdy deBridge Finance zdołał udaremnić atak phishingowy, Smirnov ostrzegł, że oszukańcza kampania prawdopodobnie jest szeroko rozpowszechniona, wymierzając platformy skupione na Web3.

Próba ataku na deBridge

Według długiego Twittera wątek przez kierownika większość członków zespołu natychmiast oznaczyła podejrzaną wiadomość e-mail, ale jeden z nich pobrał i otworzył plik. Pomogło im to zbadać wektor ataku i zrozumieć jego konsekwencje.

Smirnov wyjaśnił dalej, że użytkownicy systemu macOS są bezpieczni, ponieważ otwarcie łącza na komputerze Mac prowadziłoby do archiwum zip z normalnym plikiem PDF Adjustments.pdf. Z drugiej strony systemy Windows nie są odporne na niebezpieczeństwa. Zamiast tego użytkownicy systemu Windows będą kierowani do archiwum z podejrzanym plikiem PDF chronionym hasłem o tej samej nazwie i dodatkowym plikiem o nazwie Password.txt.lnk.

Plik tekstowy zasadniczo zainfekowałby system. W związku z tym brak oprogramowania antywirusowego pomoże złośliwemu plikowi przeniknąć do komputera i zostanie zapisany w folderze autostartu, po czym prosty skrypt zacznie wysyłać powtarzające się żądania komunikacji z atakującym w celu otrzymania instrukcji.

„Wektor ataku jest następujący: użytkownik otwiera link z wiadomości e-mail -> pobiera i otwiera archiwum -> próbuje otworzyć plik PDF, ale PDF prosi o hasło -> użytkownik otwiera hasło.txt.lnk i infekuje cały system”.

Współzałożyciel następnie wezwał firmy i ich pracowników, aby nigdy nie otwierali załączników do wiadomości e-mail bez weryfikacji pełnego adresu e-mail nadawcy i aby posiadali wewnętrzny protokół, w jaki zespoły udostępniają załączniki.

„Proszę, zostań SAFU i udostępnij ten wątek, aby wszyscy wiedzieli o potencjalnych atakach”.

Atakujący Lazarus atakujący Crypto

Sponsorowane przez państwo północnokoreańskie grupy hakerskie słyną z przeprowadzania ataków motywowanych finansami. Na przykład Lazarus przeprowadził wiele głośnych ataków na giełdy kryptograficzne, rynki NFT i inwestorów indywidualnych ze znacznymi akcjami. Najnowszy atak wydaje się bardzo przypominać poprzednie przeprowadzone przez syndykat hakerski.

W trakcie epidemii COVID-19 cyberprzestępczość kierowana przez Lazarusa zobaczył ogromny trend wzrostowy. Niedawno grupa ukradła ponad 620 milionów dolarów z mostu Ronin Axie Infinity na początku tego roku.

W rzeczywistości raporty również ujawniać że program cybernetyczny tego kraju jest duży i dobrze zorganizowany, mimo że jest ekonomicznie odizolowany od reszty świata. Według wielu źródeł rządowych USA, podmioty te również przystosowały się do Web3 i obecnie celują w zdecentralizowaną przestrzeń finansową.