Hackers norte-coreanos do Konni visam engenheiros de blockchain com malware construído com IA

O grupo de hackers norte-coreano Konni agora está mirando engenheiros de blockchain com malware gerado por inteligência artificial. De acordo com os relatórios, o grupo de hackers está agora implantando o malware PowerShell gerado por IA, usando-o para atingir desenvolvedores e engenheiros do setor de blockchain.

Acredita-se que o grupo hacker norte-coreano esteja em operação desde pelo menos 2014 e esteja associado aos clusters de atividade APT37 e Kimusky. O grupo tem visado organizações espalhadas pela Coreia do Sul, Ucrânia, Rússia e vários outros países europeus. De acordo com a amostra de ameaça analisada pelos pesquisadores da CheckPoint, a última campanha do grupo norte-coreano é direcionada à região da Ásia-Pacífico.

Grupo Konni da Coreia do Norte implanta malware gerado por IA

No relatório, os pesquisadores afirmaram que o malware foi submetido por usuários que o encontraram no Japão, na Índia e na Austrália. O ataque começa com a vítima recebendo um link do Discord que entrega um arquivo ZIP contendo uma isca em PDF e um arquivo de atalho LNK malicioso. O LNK executa um carregador PowerShell embutido que extrai um documento DOCX e um arquivo CAB que contém um backdoor PowerShell, dois arquivos em lote e um executável de contornar o UAC.

Após o arquivo de atalho ser executado, o DOCX abre e executa um arquivo em lote incluído no arquivo de gabinete. O documento isca DOCX mostra que o hacker deseja comprometer o ambiente de desenvolvimento, o que poderia fornecer a eles acesso a ativos sensíveis, incluindo infraestrutura, credenciais de API, acesso a carteiras e, finalmente, holdings de ativos digitais. O primeiro arquivo em lote cria um diretório de staging para o backdoor e o segundo arquivo em lote.

Além disso, ele também cria uma tarefa agendada por hora que imita a tarefa de inicialização do OneDrive. A tarefa lê um script PowerShell criptografado com XOR do disco e o descriptografa para execução em memória. Após concluir todas essas etapas, ele se exclui para apagar todos os sinais de infecção. O backdoor PowerShell mascara pesadamente sua origem usando codificação de strings baseada em aritmética, reconstrução de strings em tempo de execução e a execução da lógica final usando “Invoked-Expression.”

De acordo com os pesquisadores, o malware PowerShell indica a presença de um desenvolvimento assistido por IA, em vez de um malware tradicionalmente escrito. As evidências que mostram isso incluem a documentação clara e estruturada no topo do script, o que é muito incomum para o desenvolvimento de malware. Além disso, ele possui um layout limpo e modular, e a presença de um comentário “# <– your permanent project UUID” no arquivo. A CheckPoint observou que essa frase mostra sinais de código gerado por um LLM pelos hackers norte-coreanos .

Pesquisadores da CheckPoint dão detalhes sobre o malware

Os pesquisadores explicaram que a frase também mostra que o modelo instrui um usuário humano sobre como personalizar o valor do espaço reservado. Eles disseram que tais comentários são comumente vistos em scripts e tutoriais gerados por IA. Antes da execução, o malware realiza uma verificação de hardware, software e atividade do usuário para garantir que não esteja sendo executado em ambientes de análise. Uma vez determinado isso, ele gera um ID de host exclusivo. Depois disso, ele segue um caminho especificado de ação.

Uma vez que o backdoor está totalmente ativado e em execução no dispositivo infectado, o malware entra em contato com o servidor de comando e controle (C2) periodicamente para enviar metadados do host e consulta o servidor em intervalos aleatórios. Se o C2 contiver um código PowerShell, ele se transforma em um bloco de script e realiza suas atividades usando jobs em segundo plano. A CheckPoint observou que esses ataques podem ser atribuídos ao ator de ameaça Konni da Coreia do Norte com base no formato do lançador anterior e no nome da isca.

Além disso, os pesquisadores afirmaram que, além da sobreposição dos nomes dos scripts, há outros elementos comuns na estrutura da cadeia de execução em relação a ataques anteriores. Os pesquisadores também publicaram indicadores de comprometimento associados a esta campanha recente para ajudar os defensores a reconhecer quando foram atacados pela campanha Konni da Coreia do Norte , para que possam proteger seus ativos.