Nordkoreanische Konni-Hacker zielen auf Blockchain-Ingenieure mit KI-gebauter Malware

Die nordkoreanische Hackergruppe Konni zielt nun auf Blockchain-Ingenieure mit künstlich intelligenzgenerierter Malware. Berichten zufolge setzt die Hackergruppe nun die KI-generierte PowerShell-Malware ein, um Entwickler und Ingenieure in der Blockchain-Branche anzugreifen.

Die nordkoreanische Hackergruppe ist seit mindestens 2014 in Betrieb und steht im Zusammenhang mit den APT37- und Kimusky-Aktivitätsclustern. Die Gruppe hat Organisationen in Südkorea, der Ukraine, Russland und mehreren anderen europäischen Ländern angegriffen. Laut der von CheckPoint-Forschern analysierten Bedrohungsprobe richtet sich die neueste Kampagne der nordkoreanischen Gruppe an die asiatisch-pazifische Region.

Nordkoreanische Konni-Gruppe setzt KI-generierte Malware ein

In dem Bericht behaupteten die Forscher, dass die Malware von Nutzern eingereicht wurde, die sie in Japan, Indien und Australien gefunden hatten. Der Angriff beginnt damit, dass das Opfer einen Discord-Link erhält, der ein ZIP-Archiv mit einer PDF-Köderdatei und einer schädlichen LNK-Verknüpfungsdatei liefert. Die LNK-Datei führt einen eingebetteten PowerShell-Lader aus, der ein DOCX-Dokument und ein CAB-Archiv extrahiert, das einen PowerShell-Backdoor, zwei Batch-Dateien und ein UAC-Umgehungsexecutable enthält.

Nachdem die Verknüpfungsdatei gestartet wurde, öffnet sich das DOCX und führt eine Batch-Datei aus, die in der Cabinet-Datei enthalten ist. Das Köder-Dokument DOCX zeigt, dass der Hacker die Entwicklungsumgebung kompromittieren möchte, was ihm Zugang zu sensiblen Assets, einschließlich Infrastruktur, API-Anmeldeinformationen, Wallet-Zugriff und schließlich digitalen Asset-Beständen, verschaffen könnte. Die erste Batch-Datei erstellt ein Staging-Verzeichnis für den Backdoor, und die zweite Batch-Datei.

Darüber hinaus erstellt sie eine stündlich geplante Aufgabe, die die Startaufgabe von OneDrive imitiert. Die Aufgabe liest ein XOR-verschlüsseltes PowerShell-Skript von der Festplatte und entschlüsselt es für die Ausführung im Speicher. Nachdem alle diese Schritte abgeschlossen sind, löscht sie sich selbst, um alle Anzeichen einer Infektion zu verwischen. Der PowerShell-Backdoor maskiert seine Herkunft stark durch arithmetische String-Codierung, String-Rekonstruktion zur Laufzeit und die Ausführung der finalen Logik mit „Invoked-Expression.“

Laut den Forschern deutet die PowerShell-Malware auf eine KI-unterstützte Entwicklung hin, anstatt auf traditionell geschriebene Malware. Dazu gehören die klare und strukturierte Dokumentation am Anfang des Skripts, was für die Malware-Entwicklung sehr ungewöhnlich ist. Außerdem weist sie ein sauberes und modulares Layout auf, und die Anwesenheit eines Kommentars „# <– your permanent project UUID“ in der Datei. CheckPoint bemerkte, dass diese Formulierung Anzeichen für von einer LLM generierten Code durch die nordkoreanischen Hacker zeigt.

CheckPoint-Forscher geben Details zur Malware an

Die Forscher erklärten, dass die Formulierung auch zeigt, dass das Modell einem menschlichen Nutzer anweist, wie der Platzhalterwert angepasst werden soll. Sie sagten, solche Kommentare sind häufig in KI-generierten Skripten und Tutorials zu sehen. Vor der Ausführung führt die Malware eine Hardware-, Software- und Benutzeraktivitätsprüfung durch, um sicherzustellen, dass sie nicht in Analyseumgebungen ausgeführt wird. Sobald dies festgestellt ist, generiert sie eine eindeutige Host-ID. Danach folgt sie einem angegebenen Pfad der Aktion.

Sobald der Backdoor vollständig aktiviert und auf dem infizierten Gerät ausgeführt wird, kontaktiert die Malware den Command-and-Control-(C2)-Server periodisch, um Host-Metadaten zu senden, und pollt den Server in zufälligen Intervallen. Wenn der C2 einen PowerShell-Code enthält, wird er in einen Scriptblock umgewandelt und führt seine Aktivitäten mit Hintergrundjobs aus. CheckPoint bemerkte, dass diese Angriffe basierend auf dem früheren Launcher-Format und dem Ködernamen dem nordkoreanischen Konni-Bedrohungsakteur zugeschrieben werden können.

Darüber hinaus behaupteten die Forscher, dass es neben der Überschneidung der gleichen Skriptnamen weitere gemeinsame Elemente in der Struktur der Ausführungskette mit früheren Angriffen gibt. Die Forscher haben auch Indikatoren für Kompromittierungen veröffentlicht, die mit dieser jüngsten Kampagne verbunden sind, um Verteidigern zu helfen, zu erkennen, wann sie von der nordkoreanischen Konni-Kampagne angegriffen wurden, damit sie ihre Assets schützen können.