Nordkoreanische Hacker nutzen gefälschte US-Firmen, um Krypto-Entwickler zu hacken

Nordkoreanische Cyber-Operative haben stillschweigend zwei Limited-Liability-Companies in den Vereinigten Staaten gegründet und sie verwendet, um schädlichen Code an jobsuchende Software-Ingenieure in der Krypto-Welt zu schleusen, according to US-legalen filings und Forschung, die mit Reuters geteilt wurde.

Silent Push, ein Cybersicherheitsunternehmen, sagt, dass Blocknovas LLC in New Mexico und Softglide LLC in New York mit erfundenen Namen und gemieteten Adressen errichtet wurden, damit die Hacker wie legitime Arbeitgeber aussehen konnten, während sie Malware an Bewerber sendeten. Eine dritte Firma, Angeloper Agency, trug identische schädliche Web-Fingerabdrücke, erschien jedoch in keinem US-Unternehmensregister.

„Dies ist ein seltenes Beispiel dafür, dass nordkoreanische Hacker tatsächlich geschafft haben, legale Unternehmensstrukturen in den USA zu gründen, um Firmenfronten zu schaffen, die verwendet werden, um ahnungslose Bewerber anzugreifen“, sagte Kasey Best, Direktor für Bedrohungserkennung bei Silent Push, Reuters.

Das US-Bundesamt für Strafverfolgung (FBI) wollte nicht direkt über die beiden Unternehmen sprechen. Am Donnerstag veröffentlichte das FBI jedoch eine Beschlagnahmungsmitteilung auf der Website von Blocknovas, in der es hieß, die Domain sei „im Rahmen einer strafrechtlichen Maßnahme gegen nordkoreanische Cyber-Akteure beschlagnahmt worden, die diese Domain genutzt haben, um Personen mit gefälschten Stellenangeboten zu täuschen und Malware zu verbreiten.“

Vor der Sperrung sagten hochrangige FBI-Beamte der Agentur, sie beabsichtige, „Risiken und Konsequenzen nicht nur für die DPRK-Akteure selbst auferlegen, sondern für jeden, der ihre Fähigkeit unterstützt, diese schemes durchzuführen.“

Ein Beamter bezeichnete die Hacking-Einheiten Nordkoreas als „vielleicht eine der fortgeschrittensten persistenten Bedrohungen“, denen die Vereinigten Staaten heute ausgesetzt sind.

Silent Push gibt an, dass sich die Angreifer als Rekrutierer ausgegeben und Interviews angeboten haben, bei denen die Ziele schädliche Dateien öffnen mussten.

Blocknovas und Softglide nutzten Stellenanzeigen, um Malware an Krypto-Entwickler zu schleusen

Sobald die Dateien gestartet wurden, versuchten sie, Krypto-Wallet-Schlüssel, Passwörter und andere Anmeldeinformationen zu sammeln, die später helfen könnten, in Börsen oder Technologieunternehmen einzubrechen.

Der unveröffentlichte Bericht des Unternehmens bestätigt „mehrere Opfer“, die meisten von ihnen über Blocknovas angesprochen, das die Forscher als „bei weitem das aktivste“ der drei Fronten beschreiben.

Staatsaufzeichnungen zeigen, dass Blocknovas am 27. September 2023 in New Mexico registriert wurde. Die Unterlagen listen eine Postadresse in Warrenville, South Carolina, auf, die Google Maps als ein leeres Grundstück zeigt.

Die Gründung von Softglide in New York geht auf ein kleines Steuerberatungsunternehmen in Buffalo zurück. Es gab keine Spur der Personen, deren Namen in beiden Einreichungen erscheinen.

US-Beamte sagen, das Muster passe zu einem weiteren nordkoreanischen Versuch, Hartwährung zu beschaffen. Washington, Seoul und UN-Experten haben Pyongyang lange beschuldigt, Krypto zu stehlen und Tausende von IT-Arbeitern ins Ausland zu entsenden, um das Nuklear- und Raketenprogramm des Landes zu finanzieren.

Das Betreiben eines von Nordkorea kontrollierten Unternehmens innerhalb der USA verstößt gegen Sanktionen des Büros für ausländische Vermögenswerte (OFAC) des Finanzministeriums. Es verstößt gegen Maßnahmen des UN-Sicherheitsrats, die kommerzielle Aktivitäten untersagen, die dem nordkoreanischen Staat oder Militär zugutekommen.

Malware-beladene Job-Dateien sind mit der Lazarus Group verknüpft

Der Secretary of State von New Mexico sagte in einer E-Mail, dass Blocknovas über das Online-Inlands-LLC-System eingereicht wurde und unter Verwendung eines registrierten Vertreters zu sein schien und die Staatsregeln zu erfüllen schien. „Es gäbe keine Möglichkeit, dass unser Büro seine Verbindung zu Nordkorea kennen würde“, schrieb ein Vertreter.

Die Ermittler verknüpfen die Aktivität mit einer Untergruppe der Lazarus Group, einem Elite-Hackerteam, das dem Reconnaissance General Bureau untersteht, der wichtigsten ausländischen Geheimdienstabteilung Pyongyangs.

Silent Push identifizierte mindestens drei zuvor bekannte Malware-Familien in den schädlichen Job-Dateien. Die Tools können Daten von infizierten Maschinen ziehen, Hintertüren für weitere Eindringlinge öffnen und zusätzlichen Angriffscode herunterladen, ein Spielbuch, das oft in vergangenen Lazarus-Aktivitäten gesehen wird.

Derzeit steht die Domain von Blocknovas unter föderaler Beschlagnahmung, die Website von Softglide ist offline, und die Seiten von Angeloper Agency geben Fehler zurück. Aber Ermittler warnen, dass neue Pseudonyme schnell auftauchen können.

„Diese Operation veranschaulicht die sich ständig entwickelnde Bedrohung durch DPRK-Cyber-Akteure“, sagte das FBI in seiner Erklärung und forderte Technologie-Profis auf, unerwünschte Stellenangebote genau zu prüfen und jegliche verdächtige Kontaktaufnahme zu melden.