Хакерская группа Kimsuky нацелилась на южнокорейские криптовалютные фирмы с новым вредоносным ПО
Kimsuky, северокорейская хакерская группа, развернула новый вариант вредоносного ПО под названием «Durian» для атак на южнокорейские криптовалютные фирмы. Об этом говорится в недавнем отчете об угрозах, подготовленном компанией «Касперский».
Исследование Касперского выявило как минимум две жертвы в южнокорейской криптовалютной отрасли. Первый случай компрометации произошел в августе 2023 года, а второй — в ноябре 2023 года. «Основываясь на данных телеметрии, мы определили двух жертв в криптовалютной отрасли Южной Кореи. Примечательно, что наше расследование не выявило никаких дополнительных жертв во время этих случаев, что свидетельствует о целенаправленном подходе злоумышленника», — говорится в отчете.
Вредоносная программа Durian работает как установщик «начальной стадии». Он внедряет дополнительные вредоносные программы и устанавливает механизм сохранения на целевом устройстве. После выполнения Durian генерирует загрузчик, добавляя его в операционную систему для автоматического выполнения. Завершает установку финальная полезная нагрузка, написанная на Golang, языке программирования с открытым исходным кодом, разработанном компанией Google. Эта полезная нагрузка позволяет выполнять удаленные команды, давая команду взломанному устройству загружать и выводить файлы.
Интересно, что в отчете Касперского также упоминается, что LazyLoad, инструмент, развернутый Durian, использовался Andariel, подгруппой в составе печально известной Lazarus Group. Это говорит о потенциальной связи между Kimsuky и Lazarus, хотя Касперский назвал эту связь в лучшем случае «непрочной».
Lazarus Group, действующая с 2009 года, является одной из самых печально известных групп криптохакеров. Независимый ончейн-ищейка ZachXBT недавно обнаружил, что Lazarus отмыл более 200 миллионов долларов в украденных криптовалютах в период с 2020 по 2023 год. В общей сложности Lazarus обвиняется в краже криптоактивов на сумму более 3 миллиардов долларов в период с 2017 по 2023 год.
На прошлой неделе суд США постановил конфисковать 279 криптовалютных счетов, связанных с северокорейскими угрозами.