Tech

deBridge адзначае спробу фішынгавай атакі, падазрае Lazarus Group

08/08/2022
Навіны Bitcoin Ethereum

Крос-ланцуговыя пратаколы і фірмы Web3 па-ранейшаму становяцца мішэнню хакерскіх груп, у той час як deBridge Finance раскрывае няўдалую атаку, якая мае прыкметы паўночнакарэйскіх хакераў Lazarus Group.

Супрацоўнікі deBridge Finance атрымалі нешта падобнае на звычайны электронны ліст ад сузаснавальніка Алекса Смірнова ў пятніцу днём. Укладанне з надпісам «Новыя карэкціроўкі заработнай платы» павінна было выклікаць цікавасць з рознымі фірмамі, якія займаюцца криптовалютой. звальненне персаналу і скарачэнне заработнай платы падчас бягучай крыптавалютнай зімы.

малюнак

Некалькі супрацоўнікаў пазначылі электронную пошту і яе ўкладанне як падазроныя, але адзін з супрацоўнікаў клюнуў на вуду і загрузіў PDF-файл. Гэта аказалася б выпадковасцю, бо каманда deBridge працавала над распакаваннем вектара атакі, адпраўленага з падробленага адраса электроннай пошты, прызначанага для адлюстравання адраса Смірнова.

Сузаснавальнік паглыбіўся ў тонкасці спробы фішынгавай атакі ў доўгай тэме Twitter, апублікаванай у пятніцу, якая выступае ў якасці публічнага аб'явы для шырокай супольнасці криптовалют і Web3:

Каманда Смірнова адзначыла, што атака не заразіць карыстальнікаў macOS, паколькі спробы адкрыць спасылку на Mac прыводзяць да zip-архіву са звычайным PDF-файлам Adjustments.pdf. Аднак сістэмы на базе Windows знаходзяцца ў небяспецы, як патлумачыў Смірноў:

«Вектар атакі наступны: карыстальнік адкрывае спасылку з электроннай пошты, спампоўвае і адкрывае архіў, спрабуе адкрыць PDF, але PDF запытвае пароль. Карыстальнік адкрывае password.txt.lnk і заражае ўсю сістэму».

Тэкставы файл наносіць шкоду, выконваючы каманду cmd.exe, якая правярае сістэму на наяўнасць антывіруснага праграмнага забеспячэння. Калі сістэма не абаронена, шкоднасны файл захоўваецца ў тэчцы аўтазапуску і пачынае ўзаемадзейнічаць са зламыснікам для атрымання інструкцый.

Па тэме: 'Іх ніхто не стрымлівае» — пагроза паўночнакарэйскай кібератакі расце

Каманда deBridge дазволіла скрыпту атрымліваць інструкцыі, але анулявала магчымасць выканання любых каманд. Гэта паказала, што код збірае паласу інфармацыі аб сістэме і экспартуе яе зламыснікам. Пры звычайных абставінах хакеры змогуць запускаць код на заражанай машыне з гэтага моманту.

Смірноў звязаны вернемся да ранейшых даследаванняў фішынгавых атак, праведзеных групай Lazarus Group, якія выкарыстоўвалі тыя ж імёны файлаў:

2022 год бачыў а ўсплёск хакерскіх перакрыжаванняў як падкрэсліла кампанія па аналізе блокчейнов Chainalysis. Крыптавалюта на суму больш за 2 мільярды долараў была выкрадзена ў выніку 13 розных нападаў у гэтым годзе, што складае амаль 70% скрадзеных сродкаў. Мост Ронін Axie Infinity быў найбольш пацярпелых да гэтага часу, страціўшы 612 мільёнаў долараў ад хакераў у сакавіку 2022 года.