macOS-Benutzer aufgepasst: Nordkoreanische Hacker auf der Suche

In einer aktuellen Enthüllung hat Elastic Security Labs einen raffinierten Cyber-Einbruch nordkoreanischer Hacker aufgedeckt, von denen angenommen wird, dass sie mit der Lazarus-Gruppe in Verbindung stehen.

Bei diesem Vorfall, der als REF7001 verfolgt wird, ging es um den Einsatz einer neuen macOS-Malware namens Kandykorn, die speziell für Blockchain-Ingenieure entwickelt wurde, die an Plattformen für den Austausch von Kryptowährungen beteiligt sind.

Nordkoreanische Hacker nehmen Krypto-Ingenieure mit über Discord verbreiteter Malware ins Visier

Elastic Security Labs hat einen raffinierten Cyber-Einbruch nordkoreanischer Hacker aufgedeckt, von denen angenommen wird, dass sie mit der berüchtigten Lazarus-Gruppe in Verbindung stehen. Bei diesem Vorfall, der sich gegen Blockchain-Ingenieure richtete, die an Kryptowährungs-Austauschplattformen beteiligt sind, wurde ein betrügerisches Python-Programm verwendet, das sich als Arbitrage-Bot für Kryptowährungen ausgab.

Was diesen Angriff auszeichnet, ist seine Verbreitungsmethode: Die Angreifer verbreiteten die Malware über eine private Nachricht auf einem öffentlichen Discord-Server, was für macOS-Einbruchstaktiken untypisch ist.

„Das Opfer glaubte, dass es einen Arbitrage-Bot installierte, ein Softwaretool, das von Kryptowährungskursunterschieden zwischen Plattformen profitieren kann“, erklärten die Forscher von Elastic Security Labs.

Nach der Installation initiiert die Kandykorn-Malware die Kommunikation mit einem Command-and-Control-Server (C2), nutzt verschlüsseltes RC4 und implementiert einen eindeutigen Handshake-Mechanismus. Statt aktiv nach Befehlen zu fragen, wartet es geduldig darauf. Diese ausgeklügelte Methode ermöglicht es Hackern, diskret die Kontrolle über die kompromittierten Systeme zu behalten.

Kandykorn-Malware-Taktiken enthüllen Verbindungen zur Lazarus-Gruppe

Elastic Security Labs hat wertvolle Einblicke in die Fähigkeiten von Kandykorn gegeben und seine Kompetenz beim Hoch- und Herunterladen von Dateien, der Prozessmanipulation und der Ausführung beliebiger Systembefehle unter Beweis gestellt. Besonders besorgniserregend ist die Verwendung von „Reflective Binary Loading“, einer dateilosen Ausführungstechnik der berüchtigten Lazarus-Gruppe. Die Lazarus-Gruppe ist bekannt für ihre Beteiligung am Diebstahl von Kryptowährungen und der Umgehung internationaler Sanktionen.

Darüber hinaus gibt es überzeugende Beweise, die diesen Angriff mit der Lazarus-Gruppe in Nordkorea in Verbindung bringen. Die Ähnlichkeit der Techniken, der Netzwerkinfrastruktur, der zum Signieren bösartiger Software verwendeten Zertifikate und der benutzerdefinierten Methoden zur Erkennung von Aktivitäten der Lazarus Group deuten allesamt auf ihre Beteiligung hin.

Darüber hinaus haben On-Chain-Transaktionen Zusammenhänge zwischen Sicherheitsverletzungen bei Atomic Wallet, Alphapo, CoinsPaid, Stake.com und CoinEx aufgedeckt. Diese Verbindungen sind ein weiterer Beweis für die Beteiligung der Lazarus-Gruppe an diesen Exploits.

In einem anderen kürzlichen Vorfall versuchte die Lazarus-Gruppe, Apple-Computer mit macOS zu kompromittieren, indem sie Benutzer dazu verleitete, eine Krypto-Handels-App von GitHub herunterzuladen. Nachdem die ahnungslosen Benutzer die Software installiert und ihr Administratorzugriff gewährt hatten, verschafften sich die Angreifer einen Hintertür-Zugang zum Betriebssystem und ermöglichten so den Fernzugriff.

Durch die Untersuchung dieser Details hat Elastic Security Labs Licht auf die ausgeklügelten Taktiken der Lazarus Group geworfen und die Bedeutung robuster Cybersicherheitsmaßnahmen zum Schutz vor solchen Bedrohungen hervorgehoben.

Der Beitrag macOS-Benutzer aufgepasst: North Korean Hackers On the Prowl erschien zuerst auf CryptoPotato.