Северокорейские хакеры используют фиктивные компании США для взлома разработчиков криптовалют

Северокорейские кибероператоры тайно создали две компании с ограниченной ответственностью в США и использовали их для внедрения вредоносного кода в программное обеспечение для поиска работы среди инженеров криптовалютной сферы, согласно данным американских судебных документов и исследований, предоставленных Reuters.

Кибербезопасностная компания Silent Push сообщает, что Blocknovas LLC (Нью-Мексико) и Softglide LLC (Нью-Йорк) были созданы с использованием вымышленных названий и арендованных адресов, чтобы хакеры могли выдавать себя за законных работодателей при рассылке вредоносного ПО соискателям. Третья фирма, Angeloper Agency, имела идентичные вредоносные веб-отпечатки, но не фигурировала ни в одном реестре корпораций США.

«Это редкий пример того, как северокорейские хакеры фактически создали легальные корпоративные структуры в США для организации фирм-однодневок, используемых для атак на неосведомленных соискателей», — заявил Reuters Кейси Бест, директор по разведке угроз Silent Push.

Федеральное бюро расследований США не стало комментировать две компании напрямую. Однако в четверг на сайте Blocknovas было размещено уведомление о конфискации, в котором говорилось, что домен был изъят «в рамках правоохранительной операции против северокорейских киберпреступников, использовавших этот домен для обмана людей с помощью фальшивых вакансий и распространения вредоносного ПО».

До блокировки высокопоставленные сотрудники ФБР заявили, что агентство стремится «наложить риски и последствия не только на самих агентов КНДР, но и на всех, кто способствует их возможности проводить эти схемы».

Один из официальных лиц назвал северокорейские хакерские подразделения «одной из самых продвинутых угроз длительного присутствия», с которыми сегодня сталкивается Соединенные Штаты.

Silent Push сообщает, что злоумышленники выдавали себя за рекрутеров и предлагали собеседования, требующие от жертв открытия вредоносных файлов.

Blocknovas и Softglide использовали вакансии для внедрения вредоносного ПО к разработчикам криптовалют

После запуска файлы пытались похитить ключи криптокошельков, пароли и другие учетные данные, которые могли бы позже помочь взломать биржи или технологические компании.

Неопубликованный отчет компании подтверждает наличие «нескольких жертв», большинство из которых были привлечены через Blocknovas, которую исследователи описывают как «безусловно самую активную» из трех направлений.

Государственные записи показывают, что Blocknovas была зарегистрирована в Нью-Мексико 27 сентября 2023 года. В документах указан почтовый адрес в Уорренвилле (Южная Каролина), который на Google Maps отображается как пустой участок.

Включение Softglide в штате Нью-Йорк восходит к небольшому офису по подготовке налоговых деклараций в Буффало. Никаких следов людей, чьи имена фигурируют в обоих документах, обнаружено не было.

США утверждают, что эта схема соответствует более широкой стратегии Северной Кореи по привлечению твердой валюты. Вашингтон, Сеул и эксперты ООН уже давно обвиняют Пхеньян в краже криптовалют и отправке тысяч специалистов в сфере информационных технологий за границу для финансирования программы ядерных ракет страны.

Управление по контролю за иностранными активами (OFAC) Министерства финансов США ввело санкции, нарушение которых заключается в управлении компанией, контролируемой Северной Кореей, на территории Соединенных Штатов. Это также нарушает меры Совета Безопасности ООН, запрещающие коммерческую деятельность, приносящую выгоду северокорейскому государству или военным.

Файлы с вакансиями, содержащие вредоносное ПО, связаны с группировкой Lazarus Group

Госсекретарь Нью-Мексико в электронном письме заявил, что Blocknovas была зарегистрирована через онлайн-систему создания внутренних LLC с использованием зарегистрированного агента и, по-видимому, соответствовала требованиям штата. «Наше ведомство не могло знать о её связи с Северной Кореей», — написал представитель.

Расследователи связывают эту деятельность с подгруппой группы Lazarus — элитной хакерской командой, подчиняющейся Бюро общей разведки, основному органу внешней разведки Пхеньяна.

Silent Push выявил как минимум три ранее известных семейства вредоносных программ внутри файлов вредоносных заданий. Инструменты могут извлекать данные с заражённых машин, открывать бэкдоры для дальнейших вторжений и загружать дополнительный атакующий код — типичная тактика, часто наблюдавшаяся в прошлых операциях группы Lazarus.

For now, Blocknovas' domain sits under federal seizure, Softglide's website is offline, and Angeloper Agency's pages return errors. But investigators warn that new aliases can appear quickly.

"This operation illustrates the continually evolving threat posed by DPRK cyber actors," the FBI said in its statement, urging technology professionals to scrutinize unsolicited job offers and to report any suspicious outreach.