Северокорейские хакеры нацелились на криптоработников с помощью фальшивых собеседований и нового вредоносного ПО

Новая северокорейская хакерская кампания нацелена на криптовалютных профессионалов, предлагая им фальшивые вакансии для распространения мощного вредоносного ПО. Цель: кража конфиденциальных данных и получение удаленного доступа к системам жертв.

Вредоносная программа, PylangGhost, может захватывать информацию для входа в систему из более чем 80 расширений для браузеров, включая основные криптовалютные кошельки и менеджеры паролей. Большинство жертв на данный момент – разработчики блокчейна и криптовалют в Индии.

Фальшивые интервью, реальный ущерб

Злоумышленники выдают себя за рекрутеров из таких известных криптовалютных компаний, как Coinbase, Uniswap и Robinhood. Они связываются с потенциальными жертвами через платформы для поиска работы и электронную почту, предлагая поддельные вакансии, чтобы заманить их. После нескольких основных переписок “рекрутеры” отправляют ссылки на фальшивые тесты, размещенные на сайтах, которые выглядят вполне законно.

После того, как кандидат прошел тест, хакеры просят его включить веб-камеру и микрофон для предполагаемого видеоинтервью. Вот тут-то все и становится опасным. Хакеры говорят жертвам, что им нужно установить обновление видеодрайвера, чтобы собеседование прошло правильно. Но на самом деле они загружают PylangGhost, троян удаленного доступа на основе Python.

Вредоносная программа дает хакерам полный контроль над зараженной машиной. Она может красть файлы, отслеживать активность и отправлять информацию о входе в систему обратно на командные серверы злоумышленников. Пароли, ключи от кошельков, файлы cookie. Все на виду.

По мере роста угроз, подобных этой, все больше людей начинают использовать лучшие децентрализованные криптовалютные кошельки для хранения своих активов в автономном режиме или в системах, не связанных с хранением. Такие кошельки дают пользователям полный контроль над своими ключами, обеспечивая их безопасность от удаленных взломов, подобных этому.

Новое имя, старые трюки

Хакерская группа, стоящая за этой кампанией, носит имя “Famous Chollima”, хотя в кругах киберпреступников она также известна как “Wagemole”. Она связана с другими северокорейскими кибергруппами, такими как Lazarus, которая имеет долгую историю нападения на криптопроекты и кражи цифровых активов, как, например, атака на Sony Pictures в 2014 году.

Cisco Talos, ведущая исследовательская фирма в области безопасности, первой обнаружила PylangGhost. Согласно их отчету, эта вредоносная программа является двоюродным братом более раннего трояна GolangGhost. Если GolangGhost атаковал в основном системы macOS, то эта новая версия нацелена на машины под управлением Windows.

Инструменты и методы могут развиваться, но сам подход не нов. Северокорейские актеры и раньше использовали фиктивные рабочие места и подставные компании для установки вредоносного ПО. В конце 2024 года американские чиновники конфисковали домен, связанный с фиктивной компанией BlockNovas LLC, которая использовалась для атак подобного типа. В том случае также использовались поддельные собеседования, фишинговые письма и документы с вредоносным ПО.

Область применения продолжает расширяться

Вредоносная программа охотится не только за данными браузера. Она может делать скриншоты, управлять файлами, собирать системную информацию и сохранять долгосрочный доступ к устройству жертвы. Исследователи говорят, что это позволяет злоумышленникам не только красть деньги, но и собирать информацию о криптовалютных фирмах и их внутреннем устройстве.

Мошенники могут использовать эту информацию в будущих атаках или помочь устроить других поддельных соискателей в настоящие компании. Так, в мае криптовалютная биржа Kraken сообщила, что поймала северокорейского агента, устроившегося на работу в технологическую компанию. Оперативник не прошел проверку личности в процессе приема на работу, но этот случай показал, как далеко могут зайти подобные кампании.

Официальные лица Южной Кореи, Японии и США подтвердили, что группы, поддерживаемые Северной Кореей, похитили более 650 миллионов долларов в криптовалюте только за первую половину 2024 года. Эксперты говорят, что эта цифра может резко возрасти, поскольку эти мошеннические схемы найма продолжают распространяться.

Призывы к усилению киберконтроля

Эксперты по безопасности говорят, что необходимо остановить эти атаки. В Индии, где проживают многие из последних жертв, лидеры в области технологий и безопасности призывают к действиям.

Дилип Кумар Х В., директор Digital South Trust, сказал, что правительство должно сделать аудит кибербезопасности обязательным для компаний, работающих с блокчейном. Он также призвал лучше отслеживать сайты поддельных вакансий и усилить координацию с мировыми агентствами.

CERT-In, главное кибер-агентство страны, попросили выпускать публичные предупреждения, а законодателей призвали ужесточить Закон об информационных технологиях, чтобы помочь прокурорам преследовать трансграничные преступления.

Очевидно, что целью является не просто кража, а сам доступ. Хакеры пытаются проникнуть в криптовалютное пространство через людей, которые создают и управляют им. И если компании и работники не будут терять бдительность, они найдут новые пути проникновения.

Будьте умны, будьте в безопасности

Самая надежная защита сейчас – это осведомленность. Не доверяйте случайным предложениям о работе, которые появляются из ниоткуда. Никогда не устанавливайте программное обеспечение во время собеседования и всегда перепроверяйте сайты, которые Вам необходимо посетить. По мере развития криптовалютной индустрии растут и связанные с ней риски.

Отказ от ответственности: Любая информация, представленная в этом пресс-релизе или спонсируемом посте, не является инвестиционным советом. Themarketperiodical и все его авторы не поддерживают и не будут поддерживать любую информацию о какой-либо компании или отдельном человеке на этой странице. Читателям рекомендуется проводить собственные исследования и предпринимать какие-либо действия, основываясь на собственных выводах, а не на содержании, написанном в этом пресс-релизе или спонсируемом посте. Themarketperiodical.com не несет и не будет нести ответственность за любой ущерб или убытки, прямо или косвенно вызванные использованием любого контента, продукта или услуги, упомянутых в данном пресс-релизе или спонсорском посте.