Gli hacker nordcoreani Konni prendono di mira gli ingegneri blockchain con malware costruito con l'IA

Il gruppo di hacking nordcoreano Konni sta ora prendendo di mira gli ingegneri blockchain con malware generato dall'intelligenza artificiale. Secondo i rapporti, il gruppo di hacker sta ora distribuendo il malware PowerShell generato dall'IA, utilizzandolo per colpire sviluppatori e ingegneri nel settore blockchain.

Si ritiene che il gruppo di hacker nordcoreano operi almeno dal 2014 e sia associato ai cluster di attività APT37 e Kimusky. Il gruppo ha preso di mira organizzazioni sparse in Corea del Sud, Ucraina, Russia e diversi altri paesi europei. Secondo l'analisi del campione di minaccia effettuata dai ricercatori di CheckPoint, la campagna più recente del gruppo nordcoreano è mirata verso la regione Asia-Pacifico.

Il gruppo nordcoreano Konni distribuisce malware generato dall'IA

Nel rapporto, i ricercatori hanno affermato che il malware è stato sottoposto da utenti che lo hanno trovato in Giappone, India e Australia. L'attacco inizia con la vittima che riceve un link Discord che consegna un archivio ZIP contenente un'esca in formato PDF e un file di collegamento LNK dannoso. Il file LNK esegue un loader PowerShell incorporato che estrae un documento DOCX e un archivio CAB contenente un backdoor PowerShell, due file batch e un eseguibile per il bypass di UAC.

Dopo l'avvio del file di collegamento, il documento DOCX si apre ed esegue un file batch incluso nel file cabinet. Il documento esca DOCX mostra che l'hacker vuole compromettere l'ambiente di sviluppo, il che potrebbe fornire loro l'accesso ad asset sensibili, tra cui infrastrutture, credenziali API, accesso ai portafogli e, infine, le partecipazioni in asset digitali. Il primo file batch crea una directory di staging per il backdoor e il secondo file batch.

Inoltre, crea un'attività pianificata oraria che imita l'attività di avvio di OneDrive. L'attività legge uno script PowerShell crittografato con XOR dal disco e lo decrittografa per l'esecuzione in memoria. Dopo aver completato tutti questi passaggi, si elimina per cancellare tutti i segni di un'infezione. Il backdoor PowerShell maschera pesantemente la sua origine utilizzando la codifica di stringhe basata su operazioni aritmetiche, la ricostruzione delle stringhe in fase di esecuzione e l'esecuzione della logica finale tramite “Invoked-Expression.”

Secondo i ricercatori, il malware PowerShell indica la presenza di uno sviluppo assistito dall'intelligenza artificiale piuttosto che di un malware scritto tradizionalmente. Le prove che lo dimostrano includono la documentazione chiara e strutturata in cima allo script, cosa molto insolita per lo sviluppo di malware. Inoltre, presenta un layout pulito e modulare e la presenza di un commento “# <– your permanent project UUID” nel file. CheckPoint ha notato che questa formulazione mostra segni di codice generato da un LLM da parte dei hacker nordcoreani.

I ricercatori di CheckPoint forniscono dettagli sul malware

I ricercatori hanno spiegato che la formulazione mostra anche che il modello istruisce un utente umano su come personalizzare il valore del segnaposto. Hanno affermato che tali commenti sono comunemente visti negli script e nei tutorial generati dall'IA. Prima dell'esecuzione, il malware esegue un controllo hardware, software e delle attività dell'utente per assicurarsi che non sia in esecuzione in ambienti di analisi. Una volta determinato ciò, genera un ID host univoco. Dopo di che, segue un percorso di azione specificato.

Una volta che il backdoor è completamente attivato e in esecuzione sul dispositivo infetto, il malware contatta periodicamente il server di comando e controllo (C2) per inviare i metadati dell'host e interroga il server a intervalli casuali. Se il C2 contiene un codice PowerShell, questo viene trasformato in un blocco di script ed esegue le sue attività utilizzando job in background. CheckPoint ha notato che questi attacchi possono essere attribuiti all'attore della minaccia nordcoreana Konni in base al formato del launcher precedente e al nome dell'esca.

Inoltre, i ricercatori hanno affermato che, oltre alla sovrapposizione degli stessi nomi di script, ci sono altri elementi comuni nella struttura della catena di esecuzione rispetto ad attacchi precedenti. I ricercatori hanno anche pubblicato indicatori di compromesso associati a questa recente campagna per aiutare i difensori a riconoscere quando sono stati attaccati dalla campagna nordcoreana Konni, in modo da poter proteggere i propri asset.