Un esperto di sicurezza afferma che la presenza nordcoreana nel settore crypto è molto peggiore del previsto

Gli agenti nordcoreani stanno ottenendo accesso all'industria delle criptovalute su una scala che gli investigatori del settore dicono sia rimasta in gran parte inosservata, creando rischi significativi per le reti di assunzione, i sistemi interni e la postura di sicurezza delle aziende crypto.

Recenti osservazioni da Pablo Sabbatella, membro di Security Alliance (SEAL) tracciare uno schema di pratiche di reclutamento nascoste, percorsi di accesso guidati da malware e sicurezza operativa compromessa, rivelando che il settore sta affrontando una maggiore esposizione di quanto precedentemente riconosciuto.

Sabbatella ha indicato che la scala di infiltrazione nordcoreana è maggiore di quanto sia stato pubblicamente riconosciuto, e che esiste uno scenario in cui gli agenti sono già integrati nel 15% al 20% delle aziende crypto. Ha anche dichiarato che il 30% al 40% delle candidature inviate alle aziende crypto potrebbe essere effettuato da individui che agiscono per conto dello stato nordcoreano.

Ha descritto che la presenza di infiltrati non si limita ad attacchi diretti o eventi singoli, ma si diffonde nelle attività quotidiane delle aziende. Dopo essere stati assunti, questi individui ottengono accesso agli strumenti interni, ai sistemi di produzione e ad altre infrastrutture standard del settore. Sabbatella sostiene che questa via di accesso è diventata ora uno dei vettori preferiti dell'attività nordcoreana.

I lavoratori in prima linea nordcoreani e le identità remote permettono l'accesso

Il sistema di reclutamento funziona tramite intermediari che offrono identità digitali validate e accesso a piattaforme che gli utenti in Nord Korea non possono accedere direttamente. Secondo i risultati di SEAL, tali accordi dipendono tipicamente da lavoratori in regioni come l'Ucraina e le Filippine, tra altre nazioni in via di sviluppo, che vendono l'accesso ad account freelance su siti come Upwork e Freelancer. 

Per i lavori che richiedono qualifiche statunitensi, Sabbatella affermato ha rivelato che alcuni dei suoi operatori trovano un residente americano disposto a fare da volto al candidato potenziale. L'operatore installerà quindi malware sul dispositivo di quell'individuo, fornendo loro un accesso costante a un indirizzo IP degli Stati Uniti e al resto di Internet. In quel caso, l'operatore parteciperà ai colloqui e, in caso di successo, lavorerà da casa.

Questi lavoratori probabilmente rimarranno non rilevati una volta all'interno, poiché rispettano le scadenze e forniscono costantemente output di alta qualità. Secondo Sabbatella, vengono spesso mantenuti nel team per la loro produttività, tuttavia i team non sono consapevoli delle minacce poste dal fornire accesso ai sistemi interni.

Sabbatella ha anche sottolineato che la postura di sicurezza nel settore crypto presenta una situazione che facilita l'infiltrazione. Ha scritto che il crypto ha la più bassa OPSEC (sicurezza operativa) in tutto il settore informatico, dove le persone avviano attività e lavorano con le loro identità completamente esposte, non adottando misure sicure di gestione delle chiavi e comunicando con persone sconosciute utilizzando canali non verificati.

Ha dichiarato che, in assenza di sicurezza operativa, le infezioni da malware e gli attacchi di ingegneria sociale possono diffondersi a un ritmo allarmante. Questo espone i dispositivi personali e aziendali agli attaccanti che alla fine ottengono l'accesso ai portafogli, ai sistemi di comunicazione e ai sistemi di sviluppo.

Motivi finanziari e strategici guidano l'attività

Il Tesoro degli Stati Uniti ha recentemente riferito che, negli ultimi tre anni, il furto di criptovalute compiuto dagli hacker nordcoreani ha superato i 3 miliardi di dollari. Si è riferito che questi fondi hanno contribuito al programma di armi di Pyongyang, e questo ha aumentato l'importanza delle campagne di infiltrazione sulla scala geopolitica. 

Sabbatella ha anche fatto commenti che spiegano che la sua stima precedente del 30-40% si limita alle candidature di lavoro, non alle applicazioni in generale, per quanto riguarda il crypto.