Hackeri napojení na Severnú Kóreu spustili novú kybernetickú operáciu s názvom DeceptiveDevelopment. Zameriavajú sa na vývojárov softvéru na voľnej nohe a využívajú falošné pracovné ponuky, aby ich okradli o kryptomeny a citlivé údaje. Výskumníci spoločnosti ESET odhalili, že táto kampaň prebieha od roku 2024 a útočníci pri nej predstierajú, že sú recruiteri ponúkajúci atraktívne pracovné príležitosti.
Hackeri oslovujú svoje obete prostredníctvom platforiem, ako sú LinkedIn, Upwork, Freelancer.com či Crypto Jobs List. Na týchto stránkach buď priamo kontaktujú vývojárov, alebo zverejňujú falošné pracovné ponuky. Aby pôsobili dôveryhodne, vytvárajú falošné profily alebo kompromitujú existujúce účty skutočných ľudí.
Počas pracovného pohovoru žiadajú vývojárov, aby vykonali test kódovania. Poskytnú im súbory uložené na platformách ako GitHub alebo GitLab, ktoré však obsahujú škodlivý kód. Po spustení týchto súborov hackeri získajú prístup k zariadeniu obete.
„Keď vývojár spustí projekt, jeho zariadenie sa okamžite kompromituje. Útočníci využívajú podobné techniky ako pri iných kampaniach spojených so Severnou Kóreou,“ vysvetľuje Matěj Havránek, výskumník spoločnosti ESET, ktorý tento útok analyzoval.
ESET upozorňuje na to, ako to funguje
Hackeri sa zameriavajú na vývojárov pracujúcich v systémoch Windows, Linux a MacOS. Ich hlavným cieľom je získať kryptomeny, no môžu sa zamerať aj na kybernetickú špionáž. Škodlivý kód často ukrývajú v časti projektu, ktorá nesúvisí s úlohou zadanou vývojárovi. Takto ho zamaskujú a vývojár si ho nevšimne.
Kybernetická kampaň využíva dvojfázový útok s dvoma typmi škodlivého kódu. Najprv útočníci nasadia malvér s označením BeaverTail, ktorý má dve hlavné funkcie – odcudzuje prihlasovacie údaje uložené v prehliadačoch a zároveň slúži na stiahnutie ďalších škodlivých programov.
Po úspešnej prvej fáze nasleduje druhá, v ktorej sa aktivuje softvér InvisibleFerret. Tento nástroj kombinuje funkcie špionážneho programu a zadných vrátok, čím umožňuje útočníkom získať plnú kontrolu nad napadnutým zariadením. InvisibleFerret dokáže navyše inštalovať legitímne aplikácie pre vzdialenú správu, napríklad AnyDesk, ktoré útočníci následne zneužívajú na ďalšie škodlivé aktivity.
DeceptiveDevelopment je ďalšou zo série kampaní, ktoré severokórejskí hackeri využívajú na krádež peňazí. Táto operácia ukazuje, ako sa ich záujem presúva z tradičných financií na kryptomeny.
Podľa telemetrie spoločnosti ESET hackeri nevyberajú obete podľa geografickej polohy. Snažia sa zasiahnuť čo najviac vývojárov, aby zvýšili svoje šance na úspech. Obete tejto kampane sa nachádzajú aj na Slovensku.
Bezpečnostní analytici zdôrazňujú, že kybernetickí útočníci si často vyberajú špecializované platformy zamerané na kryptomeny a blockchain, pretože tieto lepšie slúžia ich zámerom. K takýmto platformám sa radia napríklad Moonlight, We Work Remotely alebo Crypto Jobs List. Potenciálne obete prijímajú škodlivé súbory dvoma spôsobmi – buď ich dostanú priamo na danej platforme, alebo prostredníctvom odkazov vedúcich na externé úložiská.
Následne ich útočníci navedú, aby do projektu implementovali nové funkcionality, vyriešili údajné chyby, prípadne spustili projekt kvôli testovaniu. Práve počas tohto procesu dochádza k infikovaniu zariadenia obete škodlivým kódom.
Výskumníci spoločnosti ESET odporúčajú vývojárom zvýšiť opatrnosť pri interakciách na platformách pre freelancerov. Dôkladné preverovanie pracovných ponúk a zdrojov súborov môže zabrániť tomu, aby sa stali obeťami tejto kampane.
