북한 해커들이 가짜 미국 기업을 사용하여 암호화폐 개발자를 해킹

미국의 법적 서류와 로이터에 공유된 연구에 따르면, 북한 사이버 요원들은 미국에 두 개의 유한책임회사(LLC)를 조용히 설립하고 이를 사용하여 암호화폐 세계의 구직 소프트웨어 엔지니어들에게 해로운 코드를 전달했습니다.

사이버 보안 기업인 실런트 푸시는 뉴멕시코의 블록노바스 LLC와 뉴욕의 소프트글라이드 LLC가 해커들이 합법적인 고용주처럼 보이면서 지원자들에게 멀웨어를 보내기 위해 가짜 이름과 임대된 주소로 구축되었다고 밝혔습니다. 세 번째 기업인 엔젤오퍼 에이전시도 동일한 악성 웹 지문을 보유했지만 미국 기업 등록부에는 나타나지 않았습니다.

“이것은 북한 해커들이 미국에서 합법적인 법인实体를 설립하여 unsuspecting(방심하는) 구직자를 공격하는 데 사용되는 법인 전단을 만드는 드문 사례입니다.”라고 실런트 푸시의 위협 인텔리전스 디렉터인 케시 베스트는 레터스에게 전했습니다.

미국 연방수사국(FBI)은 두 회사에 대해 직접적인 논의를 거부했습니다. 그러나 목요일, 국가는 블록노바스의 웹사이트에 도메인이 “가짜 채용 공고로 개인을 기만하고 멀웨어를 배포한 북한 사이버 행위자에 대한 법 집행 조치의 일환으로” 압수되었다는 압수 통지를 게시했습니다.

압수 전에 고위 FBI 관리들은 기관이 “DPRK 행위자 자체뿐만 아니라 이러한 사기를 수행할 수 있는 능력을 용이하게 하는 모든 사람에게 위험과 결과를 부과하는” 것을 목표로 한다고 기관에 알렸습니다.

한 관리자는 북한의 해킹 부대를 “오늘날 미국이 직면한 가장 진보된 지속적 위협 중 하나”라고 불렀습니다.

실런트 푸시는 공격자들이 채용 담당자 사칭을 통해 악성 파일을 열도록 요구하는 인터뷰를 제안했다고 전했습니다.

블록노바스와 소프트글라이드는 채용 광고를 사용하여 암호화폐 개발자에게 멀웨어를 전달했습니다.

실행된 후, 파일들은 나중에 거래소나 기술 기업에 침입하는 데 도움이 될 수 있는 암호화폐 지갑 키, 비밀번호 및 기타 자격 증명을 수집하려고 시도했습니다.

이 회사의 미발표 보고서는 “여러 피해자”가 있음을 확인했으며, 그 대부분은 연구자들이 “세 전단 중断단히 가장 활동적인” 것으로 묘사하는 블록노바스를 통해 접근되었습니다.

주 기록에 따르면 블록노바스는 2023년 9월 27일 뉴멕시코에 등록되었습니다. 그 서류에는 구글 지도가 빈 대지로 표시하는 사우스캐롤라이나주 워렌빌의 우편 주소가 기재되어 있습니다.

뉴욕에서의 소프트글라이드 설립은 버펄로의 작은 세금 준비 사무소로 거슬러 올라갑니다. 두 서류에 나타난 사람들의 흔적은 없었습니다.

미국 관리들은 이 패턴이 경화 획득을 위한 광범위한 북한의 노력과 일치한다고 말합니다. 워싱턴, 서울 및 유엔 전문가들은 오랫동안 평양이 암호화폐를 도난하고 수천 명의 정보기술(IT) 근로자를 해외에 파견하여 국가의 핵미사일 프로그램을 자금 지원했다고 비난해 왔습니다.

미국 내에서 북한이 통제하는 회사를 운영하는 것은 재무부 해외자산통제실(OFAC)이 부과한 제재를 위반합니다. 이는 북한 국가나 군대에 이익이 되는 상업 활동을 금지하는 유엔 안전보장이사회 조치에 위배됩니다.

멀웨어가 포함된 채용 파일은 라자루스 그룹과 연결됩니다.

뉴멕시코 주무장관은 이메일을 통해 블록노바스가 등록 대리인을 사용하여 온라인 국내 LLC 시스템을 통해 제출되었으며 주 규칙을 충족하는 것으로 보인다고 말했습니다. “우리 사무소가 북한과의 연결을 알 방법은 없었을 것입니다.”라고 한 대표는 썼습니다.

조사관들은 이 활동을 평양의 주요 대외 정보 부서인 정찰총국에 소속된 정예 해킹 팀인 라자루스 그룹의 하위 그룹과 연결합니다.

실런트 푸시는 악성 채용 파일 내부에 이전에 알려진 적어도 세 가지 멀웨어 가문을 식별했습니다. 이 도구들은 감염된 기계에서 데이터를 추출하고, 추가 침입을 위해 백도어를 열며, 과거 라자루스 활동에서 자주 볼 수 있는 플레이북인 추가 공격 코드를 다운로드할 수 있습니다.

현재 블록노바스의 도메인은 연방 압수 상태이며, 소프트글라이드의 웹사이트는 오프라인 상태이고, 엔젤오퍼 에이전시의 페이지는 오류를 반환합니다. 그러나 조사관들은 새로운 가명이 빠르게 나타날 수 있다고 경고합니다.

“이 작전은 DPRK 사이버 행위자가 제기하는 지속적으로 진화하는 위협을 보여줍니다.”라고 FBI는 성명에서 밝혔으며, 기술 전문가들이 수락하지 않은 채용 제안을 신중히 검토하고 의심스러운 연락을 보고할 것을 촉구했습니다.