26/01/23
Северокорейской национально-государственной группе, печально известной своими криптограбежами, была приписана новая волна вредоносных атак по электронной почте.
Группировка TA444 (также известна под именами APT38, BlueNoroff, Copernicium и Stardust Chollima) использует широкий спектр методов доставки вредоносного ПО, пишет Securitylab. В их арсенале: приманки, связанные с блокчейном, фальшивые возможности трудоустройства в престижные фирмы, быстрый заработок и т.д.
В атаках TA444 также часто используются фишинговые электронные письма, адаптированные под интересы жертвы. В них, как водится, безобидные на первый взгляд файлы-ярлыки .lnk или образы оптических дисков .iso, а по факту — замаскированное вредоносное ПО.
Среди других тактик TA444 — использование скомпрометированных учетных записей LinkedIn, принадлежащих законным руководителям компаний, для установления контакта и взаимодействия с целями для распространения ссылок-ловушек.
В более поздних кампаниях группировки, в декабре прошлого года, вектор атак сильно изменился. TA444 занималась распространением фишинговых сообщений, побуждающих получателей перейти на URL-адрес, который перенаправлял их на страницу сбора учетных данных (метод «Credential Harvesting»).
Декабрьские вредоносные рассылки затронули в первую очередь государственные учреждения США и Канады. Видимо, в будущем TA444 планирует использовать полученные данные для новой волны атак.
Северная Корея всё чаще становится причастна к тем или иным киберпреступлениям, связанных с криптовалютой и атаками на государственные структуры разных стран. Напомним, в июне прошлого года ФБР обвинило северокорейские группировки Lazarus и BlueNoroff (они же TA444) в краже 100 миллионов долларов в криптовалюте из Harmony Horizon Bridge. А в октябре международные следователи выразили свою обеспокоенность тем, что похищенная хакерами из КНДР криптовалюта идёт на финансирование ядерного оружия.
Грег Лесневич из компании Proofpoint заявил: «Благодаря менталитету стартапов и страсти к криптовалюте TA444 возглавляет генерацию денежных потоков Северной Кореи, привлекая средства, которые можно отмывать». «Эти злоумышленники быстро придумывают новые методы атаки, используя социальные сети как часть своего образа действий», — добавил Лесневич.
