Hidden Risk: один клик открывает КНДР контроль над техникой Apple

Северокорейские хакеры запустили новую атаку под названием «Hidden Risk», в ходе которой взламывают криптовалютные компании с помощью вредоносных программ, замаскированных под обычные документы. По данным SentinelLabs, за атакой стоит группа BlueNoroff — подгруппа известной группировки Lazarus.

Цель хакеров — извлечь деньги из быстро развивающейся криптоиндустрии, объем которой уже достиг $2,6 трлн. Хакеры пользуются уязвимостями и недостатком регулирования в данной сфере. Недавно ФБР предупредило, что северокорейские киберпреступники стали чаще атаковать сотрудников компаний, работающих с децентрализованными финансами (DeFi) и биржевыми фондами (ETF), используя методы социальной инженерии.

Новая атака продолжает эти усилия, но теперь злоумышленники сосредоточились на взломе криптобирж и финансовых платформ. Вместо того чтобы выстраивать долгие отношения с жертвами через соцсети, хакеры перешли к фишинговым письмам. Письма выглядят как новости о курсе Bitcoin или обновления в сфере DeFi и убеждают пользователей скачать поддельные PDF-документы.

Атака начинается с запуска поддельного приложения, которое выглядит как PDF-файл, но на самом деле содержит вредоносный код. Приложение было подписано с использованием реальной учётной записи разработчика Apple, что позволило обойти защиту macOS. Однако позже Apple отозвала эту подпись. После установки вредоносная программа скачивает поддельный PDF и сохраняет его на компьютере, чтобы отвлечь внимание пользователя, а затем начинает загрузку вредоносного кода.

Основная часть вредоносного ПО под названием «growth» представляет собой программу, которая собирает информацию о заражённом устройстве и отправляет её на сервер злоумышленников. Затем программа получает команды и выполняет их на компьютере, обеспечивая хакерам полный доступ. Для закрепления на устройстве используется скрытая настройка в системе macOS, которая автоматически запускает вредоносное ПО при каждом запуске системы.

Хакеры используют разнообразные домены, которые выглядят как настоящие сайты, связанные с криптовалютами и инвестициями, что помогает обманывать пользователей. Домены использовались для рассылки фишинговых писем и маскировки вредоносных программ под легитимные документы. В кампании Hidden Risk также использовались домены kalpadvisory[.]com и delphidigital[.]org, которые ранее фигурировали в индустрии криптовалют.

Исследования SentinelLabs показали, что хакеры создают сложные сети доменов и серверов, чтобы скрыть свою активность. Киберпреступники даже используют автоматизированные сервисы для отправки писем и обхода фильтров безопасности, чтобы их сообщения не попадали в спам.

Специалисты настоятельно рекомендуют усилить защиту компьютеров, особенно для пользователей macOS, так как даже приложения с официальной подписью могут быть вредоносными.