Новая кампания Lazarus распространяется через пакеты NPM, используя вредоносные программы Beavertail для кражи учетных данных, данных о криптовалюте Exfiltrate и развертывания постоянного бэкдора.
Lazarus Group Северной Кореи поставила шесть вредоносных пакетов в NPM, нацеленные на разработчиков и пользователей криптовалюты, новое исследование, проведенное исследовательской группой.
Согласно их выводам, эти пакеты злоумышленники, загруженные более 300 раз, предназначены для кражи учетных данных, развертывания бэкдоров и извлечения конфиденциальных данных из кошельков для криптовалюты, связанных с Соланой, или исхода. Удолошительные программы специально предназначены для профилей браузеров, сканирования файлов от Chrome, Brave и Firefox, а также данные для ключей на MacOS.
Идентифицированные пакеты-валидатор IS-Buffer, Yoojae-Validator, упаковка со событиями, массив-пустым валидатором, реакция-зависимость и валидатор Auth-используют типосоква, обманывая разработчики с неправильно именами в установку.
«Затем украденные данные эксфильтрируются на твердый сервер C2 по адресу hxxp: //172.86.84[.]38: 1224/Загрузки, следуя хорошо задокументированной стратегии Лазаря по сбору и передаче компрометированной информации ».
Кирилл Бойченко, аналитик по вопросам безопасности в Socket Security
Lazarus ранее использовал атаки цепочки поставок через NPM, Github и PYPI для проникновения в сети, что способствует крупным халам, таким как остороженный оленевой байбит в размере 1,5 миллиарда долларов. Эксперты по кибербезопасности отмечают, что тактика группы согласуется с прошлыми кампаниями, использующими многоэтапные полезные нагрузки для поддержания долгосрочного доступа.
В конце февраля северокорейские хакеры нацелились на Bybit, один из крупнейших бирж криптовалют, красть криптовалют около 1,46 миллиарда долларов в очень сложном ограблении. По сообщениям, атака была совершена путем скомпрометации компьютера сотрудника в Safe, поставщика технологий Bybit. Менее чем через две недели после нарушения генеральный директор Bybit Бен Чжоу заявил, что около 20% украденных средств стали невозможными из -за использования хакерствами для смешивания услуг.
