Северная Корея получила предупреждение о сложной кампании крипто-вредоноса, нацеленной на финтех-сектор

Исследователи безопасности из подразделения Mandiant компании Google Cloud обнаружили скоординированную кибероперацию, связанную с Северной Кореей, которая активно нацелена на криптовалютные и финтех-компании. Группа угроз, обозначенная как UNC1069, представляет собой значительное расширение активности, впервые зафиксированной в 2018 году, теперь использующей арсенал вредоносных инструментов в сочетании с передовыми методами социальной инженерии для взлома высокоценностных целей в сфере цифровых активов.

Группа угроз UNC1069 — постоянная операция, связанная с Северной Кореей

Расследование Mandiant выявило тщательно спланированную кампанию вторжений, включающую полный набор недавно обнаруженных инструментов атаки. Операция демонстрирует развитие киберспособностей Северной Кореи, при этом исследователи подтвердили использование семи различных семейств вредоносных программ, специально созданных для этой кампании. Согласно подробной оценке угроз от Mandiant, эта деятельность значительно расширяет возможности группы по сравнению с предыдущими операциями, что свидетельствует о постоянных инвестициях в развитие сложной инфраструктуры для атак на финтех-сектор.

Семь семейств вредоносных программ, предназначенных для утечки данных

Недавно обнаруженные инструменты включают SILENCELIFT, DEEPBREATH и CHROMEPUSH — три особенно опасных варианта, разработанных для преодоления современных систем защиты. CHROMEPUSH и DEEPBREATH специально созданы для обхода критических защит операционной системы и сбора конфиденциальной личной информации с скомпрометированных систем. Эти инструменты представляют собой значительный прогресс в технических возможностях Северной Кореи, позволяя злоумышленникам извлекать данные хоста и учетные данные жертв, одновременно избегая обнаружения традиционными средствами защиты конечных точек.

ИИ-усиленная социальная инженерия и тактики ClickFix

Помимо развертывания вредоносных программ, связанная с Северной Кореей операция использует сложные тактики социальной инженерии, сочетающие технологии искусственного интеллекта с традиционными методами фишинга. Кампания эксплуатирует взломанные аккаунты в Telegram для установления ложного доверия с целями, а затем переходит к организации мошеннических видеоконференций Zoom с использованием AI-сгенерированных дипфейков реальных лиц. Жертв затем манипулируют, заставляя выполнять скрытые команды через атаки ClickFix — технику, которая обманывает пользователей, заставляя запускать вредоносный код, маскируемый под легитимные системные исправления или сообщения о безопасности. Этот многоуровневый подход, сочетающий искусственный интеллект, кражу учетных данных и психологические методы, демонстрирует, как злоумышленники развиваются за пределы традиционных кампаний, основанных только на вредоносных программах.