Северокорейские хакеры Kimsuky развернули вредоносное ПО, нацеленное на крипто фирмы: Лаборатория Касперского

Суджха Сундарараджан

Обновлено:

13 мая 2024 02:28 EDT | 1 мин. чтения

Согласно выводам гиганта решений для кибербезопасности «Лаборатории Касперского», Durian характеризуется «всеобъемлющей функциональностью бэкдора». Эта функция позволяет выполнять доставку команд, загружать дополнительные файлы и извлекать файлы.

Сообщается, что атаки произошли в период с августа по ноябрь 2023 года с использованием южнокорейского программного эксплойта для получения первоначального доступа.

«Основываясь на нашей телеметрии, мы определили двух жертв в южнокорейском криптовалютном секторе. Первый компромисс произошел в августе 2023 года, второй — в ноябре 2023 года».

После того, как вредоносная программа была установлена и введена в действие на сервере жертвы, Дуриан развернул дополнительные инструменты, в том числе бэкдор AppleSeed Кимсуки и пользовательский прокси-инструмент под названием LazyLoad.

Интересно, что инструмент LazyLoad связан с Andariel, подгруппой внутри печально известного Lazarus. Это также вызывает подозрение в общей тактике обеих северокорейских группировок, сообщает Хакер News.

Согласно сообщениям, Кимсуки начал свою работу по крайней мере в 2012 году и подчиняется Генеральному разведывательному бюро Северной Кореи (RGB), военной разведке страны.

Почтовая мафия Кимсуки

Группа Kimsuky хорошо известна тем, что проводила различные фишинговые атаки через электронную почту для кражи криптовалюты.

В декабре 2023 года группа, замаскированная под представителей государственных органов Южной Кореи и журналистов, украсла криптовалюты. Согласно полицейским отчетам, в период с марта по октябрь 2023 года жертвами криптохакеров стали в общей сложности 1 468 человек.

Среди жертв также были отставные правительственные чиновники из дипломатии, армии и национальной безопасности. Сообщается, что преступники отправляли фишинговые письма, выглядящие как законные, чтобы скрыть сомнительное деяние.

Поддерживаемая государством хакерская группировка ранее атаковала российские аэрокосмические оборонные компании, «воспользовавшись пандемией коронавируса».

Согласно сообщению «Коммерсанта», RT-Inform, подразделение по информационной безопасности российского государственного технологического агентства «Ростех», отметило, что в период пандемии с апреля по сентябрь 2020 года наблюдается рост числа кибератак на ИТ-сети. Тем не менее, она не опровергла и не подтвердила сообщения о нападении на Кимсуки.

Подпишитесь на нас в Google News