Gli hacker nordcoreani usano aziende USA fasulle per hackerare sviluppatori crypto

Gli operatori cibernetici nordcoreani hanno formato in silenzio due società a responsabilità limitata negli Stati Uniti e le hanno utilizzate per introdurre codice dannoso agli ingegneri del software che cercano lavoro nel mondo delle criptovalute, secondo i documenti legali statunitensi e la ricerca condivisa con Reuters.

Silent Push, una società di cybersecurity, afferma che Blocknovas LLC nel New Mexico e Softglide LLC a New York sono state costruite con nomi inventati e indirizzi affittati in modo che gli hacker potessero sembrare datori di lavoro legittimi mentre inviavano malware ai candidati. Una terza società, Angeloper Agency, presentava identiche impronte digitali web dannose ma non appariva in alcun registro aziendale statunitense.

«Questo è un raro esempio di hacker nordcoreani che sono effettivamente riusciti a creare entità aziendali legali negli Stati Uniti per creare facciate aziendali utilizzate per attaccare candidati al lavoro ignari», Kasey Best, direttore dell'intelligence sulle minacce di Silent Push, ha dichiarato a Reuters.

Il Federal Bureau of Investigation degli Stati Uniti non ha discusso direttamente delle due società. Tuttavia, giovedì, l'agenzia ha pubblicato un avviso di sequestro sul sito web di Blocknovas che affermava che il dominio era stato preso «come parte di un'azione di applicazione della legge contro gli attori cibernetici nordcoreani che hanno utilizzato questo dominio per ingannare le persone con falsi annunci di lavoro e distribuire malware.»

Prima dell'operazione, alti funzionari dell'FBI hanno dichiarato che l'agenzia mira a "imporre rischi e conseguenze, non solo agli attori della RPCD stessi, ma a chiunque faciliti la loro capacità di condurre questi schemi."

Un funzionario ha definito le unità di hacking della Corea del Nord «forse una delle minacce persistenti più avanzate» che affrontano gli Stati Uniti oggi.

Silent Push afferma che gli aggressori si sono spacciati per recruiter e hanno offerto colloqui che richiedevano ai bersagli di aprire file dannosi.

Blocknovas e Softglide hanno utilizzato annunci di lavoro per introdurre malware agli sviluppatori di criptovalute

Una volta lanciati, i file cercavano di raccogliere chiavi dei portafogli di criptovalute, password e altre credenziali che avrebbero potuto in seguito aiutare a violare gli exchange o le aziende tecnologiche.

Il rapporto non pubblicato dell'azienda conferma "multiple vittime", per la maggior parte contattate tramite Blocknovas, che i ricercatori descrivono come "di gran lunga la più attiva" tra i tre fronti.

I registri statali mostrano che Blocknovas è stata registrata nel New Mexico il 27 settembre 2023. La sua documentazione elenca un indirizzo postale a Warrenville, South Carolina, che Google Maps mostra come un lotto vuoto.

L'incorporazione di Softglide a New York risale a un piccolo ufficio di preparazione delle tasse a Buffalo. Non c'erano tracce delle persone i cui nomi appaiono su entrambe le pratiche.

I funzionari statunitensi affermano che il modello si inserisce in una più ampia spinta della Corea del Nord per ottenere valuta forte. Washington, Seul ed esperti delle Nazioni Unite accusano da tempo Pyongyang di rubare criptovalute e di inviare migliaia di lavoratori dell'informatica all'estero per finanziare il programma nucleare e missilistico del paese.

Gestire un'azienda controllata dalla Corea del Nord all'interno degli Stati Uniti viola le sanzioni imposte dall'Ufficio di Controllo degli Stranieri del Dipartimento del Tesoro (OFAC). Viola inoltre le misure del Consiglio di Sicurezza delle Nazioni Unite che vietano le attività commerciali che avvantaggiano lo stato o l'esercito nordcoreano.

I file di lavoro infettati da malware sono collegati al Lazarus Group

Il segretario di Stato del New Mexico ha dichiarato in un'email che Blocknovas è stata presentata tramite il sistema online per LLC domestiche utilizzando un agente registrato e sembrava rispettare le regole statali. "Non ci sarebbe stato alcun modo per il nostro ufficio di conoscere il suo legame con la Corea del Nord", ha scritto un rappresentante.

Gli investigatori collegano l'attività a un sottogruppo del Lazarus Group, un team di hacking d'élite che risponde al Bureau Generale di Ricognizione, il principale braccio di intelligence estera di Pyongyang.

Silent Push ha identificato almeno tre famiglie di malware precedentemente note all'interno dei file di lavoro malevoli. Gli strumenti possono estrarre dati dalle macchine infette, aprire porte posteriori per ulteriori intrusioni e scaricare codice di attacco aggiuntivo, una prassi spesso osservata nelle passate attività del Lazarus.

Per ora, il dominio di Blocknovas è sotto sequestro federale, il sito web di Softglide è offline e le pagine di Angeloper Agency restituiscono errori. Ma gli investigatori avvertono che nuovi alias possono apparire rapidamente.

"Questa operazione illustra la minaccia in continua evoluzione rappresentata dagli attori cibernetici della RPCD", ha dichiarato l'FBI nella sua dichiarazione, esortando i professionisti della tecnologia a scrutinare le offerte di lavoro non sollecitate e a segnalare qualsiasi outreach sospetto.