Хакери з Північної Кореї створили фейкове програмне забезпечення для крадіжки криптовалют

Зловмисники із Північної Кореї розповсюджують вірус, який замаскований під бота для криптовалютної торгівлі — про це у своєму блозі повідомили IT-аналітики фірми Volex­i­ty. Йдеться про відоме хакерське угруповування Lazarus Group, яке вже неодноразово фігурувало у найбільших криптовалютних скандалах по всьому світі.

Дослідники стверджують, що нова хакерська кампанія розпочалася ще влітку 2022 року та тривала щонайменше до жовтня. У Volex­i­ty змогли виявити сайти-клони торгових ботів, які розповсюджували віруси для крадіжки цифрових активів

Так, відомо, що сайт [bloxholder[.]com] поширює вірус під виглядом комерційного бота, схожого на сервіс Haa­sOn­line. Шкідливий ресурс розповсюджує інсталятор Win­dows MSI під виглядом торгового робота Blox­Hold­er. Насправді програма є вірусом Apple­Jeus, що пов’язаний із торговим клієнтом QTBit­coin­Trad­er.

У жовтні 2022 року північнокорейські шахраї почали поширювати віруси у вигляді Excel-документу. Повідомляється, що xls-файл розміром 214 Кб під назвою “OKX Binance & Huo­bi VIP fee comparision.xls” містить макрос, який створює нові файли на комп’ютері жертви. Як тільки вони будуть встановлені на ПК, вірус самостійно створює заплановане завдання для злому.

Примітно, що масштаби вкраденої криптовалюти досі залишаються незрозумілі. Проте, дослідники Volex­i­ty наголошують, що вірус від Lazarus Group — Apple­Jeus — здатен оновлюватися. Наприклад, в останній версії шкідливого ПЗ API-з’єднання шифруються за допомогою спеціального алгоритму, що ускладнює їхнє відстеження антивірусами на ПК.

На початку листопада ми розповідали, що північнокорейські хакери здійснили атаку на криптокомпанію в Ізраїлі. А в жовтні Lazarus Group проникли й на японські криптобіржі. Найвідоміше хакерське угруповування також підозрюється у допомозі уряду Північної Кореї у розробці зброї масового знищення — подейкують, що левова частка фінансування ядерної програми якраз складає крадена криптовалюта.