Северокорейские хакеры Konni нацеливаются на инженеров блокчейна с помощью вредоносного ПО, созданного ИИ

Северокорейская хакерская группа Konni теперь нацеливается на инженеров блокчейна с помощью вредоносного ПО, сгенерированного искусственным интеллектом. Согласно сообщениям, хакерская группа теперь развертывает вредоносное ПО PowerShell, созданное ИИ, используя его для нацеливания на разработчиков и инженеров в индустрии блокчейна.

Считается, что северокорейская хакерская группа действует как минимум с 2014 года и связана с кластерами активности APT37 и Kimusky. Группа нацеливалась на организации, расположенные в Южной Корее, Украине, России и нескольких других европейских странах. Согласно проанализированному исследователями CheckPoint образцу угрозы, последняя кампания северокорейской группы направлена на азиатско-тихоокеанский регион.

Северокорейская группа Konni развертывает вредоносное ПО, сгенерированное ИИ

В отчете исследователи утверждали, что вредоносное программное обеспечение было отправлено пользователями, которые обнаружили его в Японии, Индии и Австралии. Атака начинается с того, что жертва получает ссылку Discord, которая доставляет ZIP-архив, содержащий приманку в виде PDF-файла и вредоносный ярлык LNK. LNK запускает встроенный загрузчик PowerShell, который извлекает документ DOCX и CAB-архив, содержащий бэкдор PowerShell, два пакетных файла и исполняемый файл для обхода UAC.

После запуска файла ярлика открывается DOCX и выполняется пакетный файл, включенный в архив. Документ-приманка DOCX показывает, что хакер хочет скомпрометить среду разработки, что может предоставить им доступ к чувствительным активам, включая инфраструктуру, учетные данные API, доступ к кошелькам и, наконец, цифровые активы. Первый пакетный файл создает каталог промежуточного хранения для бэкдора, а второй пакетный файл.

Кроме того, он также создает запланированную задачу, выполняющуюся каждый час, которая имитирует задачу запуска OneDrive. Задача считывает зашифрованный XOR скрипт PowerShell с диска и расшифровывает его для выполнения в памяти. После завершения всех этих шагов он удаляет себя, чтобы стереть все признаки заражения. Бэкдор PowerShell сильно маскирует свое происхождение с помощью арифметического кодирования строк, восстановления строк во время выполнения и выполнения окончательной логики с помощью «Invoked-Expression».

Согласно исследователям, вредоносное программное обеспечение PowerShell указывает на наличие разработки с помощью искусственного интеллекта, а не традиционного написания вредоносного кода. Доказательствами этого служат четкая и структурированная документация в верхней части скрипта, что очень необычно для разработки вредоносного ПО. Кроме того, он имеет чистую и модульную структуру, а также наличие комментария «# <– ваш постоянный UUID проекта» в файле. CheckPoint отметил, что эта формулировка свидетельствует о коде, сгенерированном LLM, северокорейскими хакерами.

Исследователи CheckPoint предоставляют подробности о вредоносном ПО

Исследователи объяснили, что формулировка также показывает, что модель инструктирует пользователя-человека о том, как настроить значение заполнителя. Они сказали, что такие комментарии часто встречаются в скриптах и руководствах, сгенерированных ИИ. Перед выполнением вредоносное ПО выполняет проверку оборудования, программного обеспечения и активности пользователя, чтобы убедиться, что оно не работает в средах анализа. Как только это определено, оно генерирует уникальный идентификатор хоста. После этого оно следует указанному пути действий.

Как только бэкдор полностью активирован и работает на зараженном устройстве, вредоносное программное обеспечение периодически связывается с сервером команд и управления (C2) для отправки метаданных хоста и опрашивает сервер через случайные интервалы. Если C2 содержит код PowerShell, он превращается в блок скрипта и выполняет свою деятельность с помощью фоновых заданий. CheckPoint отметил, что эти атаки можно отнести к северокорейскому злоумышленнику Konni на основе более раннего формата загрузчика и имени приманки.

Кроме того, исследователи утверждали, что помимо совпадения имен скриптов, есть и другие общие элементы в структуре цепочки выполнения с более ранними атаками. Исследователи также опубликовали индикаторы компрометации, связанные с этой недавней кампанией, чтобы помочь защитникам распознать, когда они были атакованы северокорейской кампанией Konni, чтобы они могли защитить свои активы.