Lazarus Group setzt „Kandykorn“-Malware auf einer Börse ein

Elastic Security Labs hat kürzlich ein bedeutendes Cybersicherheitsereignis aufgedeckt. Das Bestreben der Lazarus Group, eine Kryptobörse mit einer neuartigen Form von Malware namens „Kandykorn“ zu kompromittieren. Begleitet von dieser Malware war das Loader-Programm „Sugarload“, das durch seine charakteristische Erweiterung „.sld“ erkannt wird. Obwohl die spezifische Börse, die angegriffen wurde, nicht bekannt gegeben wurde, wirft die von der Lazarus Group angewandte Methodik erhebliche Bedenken auf.

Elastic Security Labs deckt Aktivitäten der Lazarus Group auf

Im Jahr 2023 wurde ein Anstieg von Private-Key-Hacks in Kryptobörsen beobachtet, der größtenteils der nordkoreanischen Cyberkriminalitätsgruppe Lazarus Group zugeschrieben wird. Die Modus Operandi der Lazarus Group bei diesem Angriff bestand darin, sich als Blockchain-Ingenieure auszugeben und mit Ingenieuren der namenlosen Kryptobörse über Discord in Kontakt zu treten. Als Mitstreiter getarnt, boten sie einen Arbitrage-Bot an, der angeblich Preisunterschiede für Kryptowährungen auf verschiedenen Börsen ausnutzen konnte.

Indem sie die Dateien im ZIP-Ordner des Programms als „config.py“ und „pricetable.py“ tarnten, die einem Arbitrage-Bot ähnelten, überzeugten sie die Ingenieure erfolgreich, scheinbar nützliche „Bots“ herunterzuladen. Bei der Ausführung initiierte das Programm eine „Main.py“-Datei, die sowohl harmlose Programme als auch eine bösartige Komponente, „Watcher.py“, enthielt. Watcher.py stellte eine Verbindung zu einem entfernten Google Drive-Konto her und lud Inhalte in eine Datei namens „testSpeed.py“ herunter.

Nach einer einmaligen Ausführung lud testSpeed.py zusätzliche Inhalte herunter und führte eine Datei namens „Sugarloader“ aus. Die bösartige Sugarloader-Datei wurde mit einem „Binary Packer“ getarnt, was es ihr ermöglichte, die meisten Malware-Erkennungssysteme zu umgehen. Elastic identifizierte sie, indem sie das Programm unterbrach, nachdem die Initialisierungsfunktionen begonnen hatten, und den virtuellen Speicher des Prozesses snapshotte. Trotz der Kennzeichnung als nicht schädlich durch die Malware-Erkennung von VirusTotal gelang es Sugarloader, Kandykorn auf das System herunterzuladen, sobald es eine Verbindung zu einem entfernten Server herstellte.

Steigende Cybersicherheits-Herausforderungen im Kryptobereich in 2023

Kandykorn, das im Speicher des Geräts residieren, verfügt über verschiedene Funktionen, die den entfernten Server befähigen, böswillige Aktivitäten auszuführen. Befehle wie „0xD3“ könnten beispielsweise den Inhalt des Verzeichnisses eines Opfers auflisten, und „resp_file_down“ könnte die Dateien des Opfers auf das System des Angreifers übertragen. Elastic schlug vor, dass der Angriff wahrscheinlich im April 2023 stattfand, was auf eine anhaltende Bedrohung mit kontinuierlicher Entwicklung von Tools und Techniken für böswillige Absichten hinweist.

Diese Entwicklung stimmt mit dem vorherrschenden Trend überein, der 2023 beobachtet wurde, bei dem zentralisierte Kryptobörsen und Apps mehreren Angriffen zum Opfer fielen. Alphapo, CoinsPaid, Atomic Wallet, Coinex und Stake gehörten zu den Zielen, wobei die Angriffe den Diebstahl von Private Keys von den Geräten der Opfer umfassten, was die Übertragung des Kryptowährungsbesitzes der Kunden auf die Adressen der Angreifer ermöglichte. Behörden, einschließlich des US-amerikanischen Federal Bureau of Investigation, verknüpften mehrere dieser Angriffe mit der Lazarus Group.

Vorfälle wie der Coinex-Hack und der Stake-Angriff waren mit dieser Cyberkriminalitätsentität verbunden. Das Auftreten von Kandykorn und seines zugehörigen Loaders, Sugarload, im Kontext der Aktivitäten der Lazarus Group stellt ein erhebliches Sicherheitsproblem im Kryptobereich dar. Die anhaltende Natur dieser Bedrohungen erfordert erhöhte Wachsamkeit und kontinuierliche Verbesserungen der Sicherheitsmaßnahmen, um solchen böswilligen Aktivitäten entgegenzuwirken.