Северокорейские хакеры теперь прячут вредоносное ПО для кражи криптовалюты в блокчейне

Северокорейские хакеры теперь используют метод на основе блокчейна, известный как EtherHiding, для доставки вредоносного ПО с целью облегчения операций по краже криптовалюты. По словам экспертов, был обнаружен северокорейский хакер, использующий этот метод, при котором злоумышленники внедряют коды, такие как JavaScript Payloads, внутрь смарт-контрактов на базе блокчейна.

Используя этот метод, хакеры превращают децентрализованный реестр в устойчивую систему командования и управления (C2). Согласно опубликованному сообщению в блоге группы Google Threat Intelligence Group (GTIG), это первый случай наблюдения актора такого масштаба, использующего данный метод. Утверждается, что использование EtherHiding удобно в условиях традиционных усилий по удалению и блокировке. Группа разведки угроз отметила, что отслеживает актора угроз UNC5342 с февраля 2025 года, интегрировав EtherHiding в текущую кампанию социальной инженерии.

Северокорейские хакеры переходят на EtherHiding

Google упомянула, что связала использование вредоносного ПО EtherHiding с кампанией социальной инженерии, отслеживаемой Palo Alto Networks под названием Contagious Interview. Кампания Contagious Interview была осуществлена акторами из Северной Кореи. По словам исследователей из Socket, группа расширила свою деятельность с помощью нового загрузчика вредоносного ПО XORIndex. Загрузчик уже скачали тысячи раз, среди целей — соискатели работы и лица, предположительно владеющие цифровыми активами или конфиденциальными учетными данными.

В ходе этой кампании северокорейские хакеры используют вредоносное ПО JADESNOW для распространения варианта JavaScript INVISIBLEFERRET, который ранее использовался для многочисленных краж криптовалюты. Кампания нацелена на разработчиков в индустриях криптовалют и технологий, похищая конфиденциальные данные, цифровые активы и получая доступ к корпоративным сетям. Она также основана на тактике социальной инженерии, имитирующей легитимные процессы найма с использованием фиктивных рекрутеров и вымышленных компаний.

Фиктивные рекрутеры используются для заманивания кандидатов на такие платформы, как Telegram или Discord. После этого вредоносное ПО доставляется на их системы и устройства через фиктивные тесты по программированию или загрузки программного обеспечения, замаскированные под технические задания или исправления для собеседований. Кампания использует многоэтапный процесс заражения вредоносным ПО, который обычно включает вредоносные программы JADESNOW, INVISIBLEFERRET и BEAVERTAIL для компрометации устройств жертв. Вредоносное ПО затрагивает системы Windows, Linux и macOS.

Исследователи подробно описывают недостатки EtherHiding

EtherHiding дает злоумышленникам значительное преимущество, при этом GTIG отмечает, что это особенно сложная угроза для нейтрализации. Одна из ключевых проблем EtherHiding заключается в его децентрализованной природе. Это означает, что он хранится в разрешительной и децентрализованной блокчейн-сети, что затрудняет его удаление правоохранительными органами или компаниями по кибербезопасности, поскольку у него нет центрального сервера. Личность злоумышленника также трудно отследить из-за псевдонимного характера блокчейн-транзакций.

Также сложно удалить вредоносный код в смарт-контрактах, развернутых в блокчейне, если вы не являетесь владельцем контракта. Атакующий, контролирующий смарт-контракт, в данном случае северокорейские хакеры, также может выбрать обновление вредоносной нагрузки в любое время. Хотя исследователи безопасности могут попытаться предупредить сообщество о вредоносном контракте, пометив его, это не останавливает хакеров от проведения их злонамеренной деятельности с использованием смарт-контракта.

Кроме того, злоумышленники могут извлекать свою вредоносную нагрузку с помощью вызовов только для чтения, которые не оставляют видимой истории транзакций в блокчейне, что затрудняет отслеживание их активности исследователями. Согласно отчету об исследовании угроз, EtherHiding представляет собой «сдвиг в сторону хостинга следующего поколения, устойчивого к атакам», где самые яркие особенности технологии блокчейн используются мошенниками в злонамеренных целях.