Lazarus Hacker Group מכוונת למשתמשי MacOS באמצעות עבודות קריפטו

קבוצת לזרוס הם האקרים צפון קוריאנים ששולחים כעת ללא הזמנה ועבודות קריפטו מזויפות המיועדות למערכת ההפעלה macOS של אפל. קבוצת ההאקרים פרסה תוכנה זדונית שמבצעת את המתקפה.

הגרסה האחרונה הזו של הקמפיין נבדקת על ידי חברת אבטחת הסייבר SentinelOne.

חברת אבטחת הסייבר גילתה כי קבוצת ההאקרים השתמשה במסמכי פיתוי לצורך פרסום עמדות עבור פלטפורמת בורסת המטבעות הקריפטוגרפיים הסינגפורית בשם Crypto.com ומבצעת את הפריצות בהתאם.

הגרסה האחרונה של קמפיין הפריצה נקראה "Operation In(ter)ception". לפי הדיווחים, קמפיין הדיוג מכוון רק למשתמשי מק.

התוכנה הזדונית המשמשת לפריצות נמצאה זהה לאלו המשמשות בפרסומי דרושים מזויפים של Coinbase.

בחודש שעבר, חוקרים הבחינו וגילו שלזרוס השתמש במשרות מזויפות של Coinbase כדי להערים רק על משתמשי macOS להוריד תוכנות זדוניות.

כיצד ביצעה הקבוצה פריצות בפלטפורמת Crypto.com

זה נחשב לפרוץ מתוזמר. האקרים אלה הסוו תוכנות זדוניות כפרסומי דרושים מבורסות קריפטו פופולריות.

זה נעשה על ידי שימוש במסמכי PDF מעוצבים ולכאורה לגיטימיים המציגים משרות פנויות לתפקידים שונים, כגון Art Director-Concept Art (NFT) בסינגפור.

על פי דיווח מ-SentinelOne, פיתוי העבודה הקריפטו החדש הזה כלל התמקדות בקורבנות אחרים על ידי יצירת קשר איתם בהודעות לינקדאין של לזרוס.

במתן פרטים נוספים בנוגע לקמפיין ההאקרים, אמר SentinelOne,

למרות שלא ברור בשלב זה כיצד התוכנה הזדונית מופצת, דיווחים קודמים העלו שגורמי איומים מושכים קורבנות באמצעות הודעות ממוקדות בלינקדאין.

שתי פרסומות דרושים מזויפות אלו הן רק האחרונה בשורה של התקפות אשר כונו Operation In(ter)ception, ואשר בתורן הן חלק ממסע פרסום רחב יותר אשר נופל תחת מבצע הפריצה הרחב יותר בשם Operation Dream Job.

קריאה קשורה: STEPN משתפת פעולה עם בלוק הנתינה כדי לאפשר תרומות קריפטו לעמותות

פחות בהירות לגבי אופן הפצת התוכנה הזדונית

חברת האבטחה בוחנת זאת ציינה כי עדיין לא ברור כיצד התוכנה הזדונית מופצת.

בהתחשב במאפיינים הטכניים, SentinelOne אמר שהטפטפת בשלב הראשון היא בינארי Mach-O, שזהה לבינארי תבנית שנעשה בו שימוש בגרסה של Coinbase.

השלב הראשון מורכב מיצירת תיקיה חדשה בספריית המשתמש שמפילה סוכן התמדה.

המטרה העיקרית של השלב השני היא לחלץ ולהפעיל את הבינארי של השלב השלישי, שפועל בתור הורדה משרת C2.

הייעוץ קרא,

שחקני האיום לא עשו כל מאמץ להצפין או לטשטש אף אחד מהקבצים הבינאריים, מה שעשוי להצביע על קמפיינים קצרי טווח ו/או חשש מועט מזיהוי על ידי המטרות שלהם.

SentinelOne גם הזכיר כי נראה ש-Operation In(ter)ception גם מרחיב את היעדים ממשתמשי פלטפורמות החלפת קריפטו לעובדים שלהם, שכן זה נראה כמו "מה שעשוי להיות מאמץ משולב לנהל גם ריגול וגם גניבת מטבעות קריפטו".