Il Gruppo Lazarus distribuisce il malware 'Kandykorn' su uno scambio

Elastic Security Labs ha recentemente svelato uno sviluppo significativo nella cybersecurity. L'impegno del Gruppo Lazarus a violare uno scambio di criptovalute utilizzando una nuova forma di malware noto come "Kandykorn". Accompagnando questo malware c'era il programma loader, "Sugarload", riconosciuto dalla sua distinta estensione ".sld". Sebbene lo scambio specifico preso di mira non sia stato divulgato, la metodologia impiegata dal Gruppo Lazarus solleva preoccupazioni sostanziali.

Elastic Security Labs svela le attività del Gruppo Lazarus

Nel 2023, si è osservato un aumento degli hack delle chiavi private negli scambi di criptovalute, principalmente attribuiti al gruppo di cybercriminalità nordcoreano, il Gruppo Lazarus. Il modus operandi del Gruppo Lazarus in questo attacco ha coinvolto l'assumere le sembianze di ingegneri blockchain, interagendo con ingegneri associati allo scambio di criptovalute non nominato tramite Discord. Facendosi passare per collaboratori, hanno offerto un bot di arbitraggio che presuntamente poteva sfruttare le differenze di prezzo delle criptovalute su vari exchange.

Mascherando i file all'interno della cartella ZIP del programma come "config.py" e "pricetable.py", somigliando a un bot di arbitraggio, sono riusciti a convincere gli ingegneri a scaricare quello che sembrava un "bot" benefico. All'esecuzione, il programma ha avviato un file "Main.py", che includeva sia programmi innocui che un componente malevolo, "Watcher.py". Watcher.py ha stabilito una connessione con un account Google Drive remoto, scaricando contenuti in un file chiamato "testSpeed.py".

Dopo un'esecuzione una tantum, testSpeed.py ha scaricato contenuti aggiuntivi ed eseguito un file chiamato "Sugarloader". Il file malevolo Sugarloader è stato nascosto utilizzando un "binary packer", consentendogli di eludere la maggior parte dei sistemi di rilevamento del malware. Elastic lo ha identificato interrompendo il programma dopo l'avvio delle funzioni di inizializzazione e acquisendo uno snapshot della memoria virtuale del processo. Nonostante fosse etichettato come non malevolo dal rilevamento del malware di VirusTotal, Sugarloader è riuscito a scaricare Kandykorn sul sistema al momento della connessione a un server remoto.

Crescenti sfide di cybersecurity nel settore delle criptovalute in 2023

Kandykorn, residente nella memoria del dispositivo, vanta varie funzionalità che permettono al server remoto di eseguire attività malevole. Ad esempio, comandi come "0xD3" potrebbero elencare i contenuti della directory del computer di una vittima, e "resp_file_down" potrebbe trasferire i file della vittima al sistema dell'attaccante. Elastic ha suggerito che l'attacco è probabilmente avvenuto nell'aprile 2023, indicando una minaccia in corso con lo sviluppo continuo di strumenti e tecniche per intenti malevoli.

Questo sviluppo si allinea con la tendenza prevalente osservata nel 2023, in cui gli exchange di criptovalute centralizzati e le app hanno subito numerosi attacchi. Alphapo, CoinsPaid, Atomic Wallet, Coinex e Stake erano tra i bersagli, con attacchi che comportavano il furto delle chiavi private dai dispositivi delle vittime, consentendo il trasferimento delle criptovalute dei clienti agli indirizzi degli attaccanti. Le autorità, incluso l'FBI (Federal Bureau of Investigation) degli Stati Uniti, hanno collegato diversi di questi attacchi al Gruppo Lazarus.

Incidenti come l'hack di Coinex e l'attacco a Stake sono stati associati a questa entità di cybercriminalità. L'emergere di Kandykorn e del suo loader associato, Sugarload, nel contesto delle attività del Gruppo Lazarus pone una considerevole preoccupazione per la sicurezza all'interno della sfera delle criptovalute. La natura persistente di queste minacce richiede una maggiore vigilanza e miglioramenti continui nelle misure di sicurezza per contrastare tali attività malevole.