Cyberprzestępcy powiązani z Koreą Północną podszywają się pod rekruterów w branży IT, aby instalować złośliwe oprogramowanie na urządzeniach ludzi poszukujących pracy. Jak informuje Palo Alto Networks, nowy sposób atakowania jest szczególnie skuteczny, ponieważ złośliwe oprogramowanie może zostać zaaplikowane do serwerów atakowanej firmy przez nieświadomego pracownika. Przez to wydłuża się czas potrzebny do odkrycia źródła ataku i wykrycia stojącej za nim grupy.
Jak to wygląda w praktyce? Cyberprzestępcy nawiązują z niczego nieświadomą ofiarą kontakt na LinkedIn, a następnie proponują odbycie spotkania online. W tym celu wysyłają link do fałszywych stron udających legalne aplikacje do połączeń wideo. Przechodząc na zewnętrzną stronę, użytkownik wystawia swoje urządzenie na cyberatak. To jeden z kluczowych momentów, kiedy kandydatowi powinna się zapalić czerwona lampka, ponieważ istnieje duże prawdopodobieństwo, że ma do czynienia z oszustem.
Takie działanie stwarza szereg zagrożeń, zarówno dla osoby, której urządzenia zainfekowano, jak i dla legalnych firm, z którymi później taki specjalista będzie współpracował. Złośliwe oprogramowanie może długo pozostać uśpione, oczekując na sprzyjające warunki do wyprowadzania na zewnątrz cennych danych. Chodzi tu nie tylko o prywatne informacje zaatakowanego użytkownika, bowiem część pracowników korzysta z firmowego sprzętu do celów prywatnych. Taki pracownik może nieumyślnie udostępnić oszustom służbowe urządzenie jako nośnik złośliwego oprogramowania. Udana infekcja urządzenia końcowego należącego do firmy może skutkować gromadzeniem i wyprowadzeniem poufnych informacji.
Cyberprzestępcy wykorzystują to, że część pracowników od czasu do czasu korzysta z komputera służbowego lub telefonu do celów prywatnych. Taka osoba może nieświadomie otworzyć złośliwemu oprogramowaniu drogę do wewnętrznej firmowej sieci, powodując poważne szkody. Chcielibyśmy zachęcić pracodawców, aby uświadamiali personel, że takie scenariusze są bardzo prawdopodobne. Przestrzegamy również pracowników, aby zachowali czujność podczas rozmów z rekruterami. Radzimy dokładnie weryfikować pracowników HR. Z kolei z perspektywy pracodawcy zalecamy dokładne sprawdzenie tożsamości kandydata i zachowanie szczególnej ostrożności podczas przeglądania repozytoriów na GitHub z niewielką liczbą aktualizacji – podkreśla Grzegorz Latosiński, dyrektor krajowy Palo Alto Networks w Polsce.
Specjaliści z jednostki Unit 42 od Palo Alto Networks dostrzegają stale rosnącą aktywność hakerów z Koreańskiej Republiki Ludowo-Demokratycznej. Początkowo takie grupy ATP skupiały się na południowokoreańskich agencjach rządowych, instytucjach badawczych i ośrodkach analitycznych. Jednak w miarę rozwoju rozszerzyły one swój zasięg również na kraje zachodnie, w tym Stany Zjednoczone[1], udowadniając tym samym, że stanowią zagrożenie globalne. Atakującym zależy zarówno na pieniądzach, jak i na szpiegostwie.
Ostatnio badacze z Palo Alto Networks odkryli dwie próbki złośliwego oprogramowania wykorzystywane przez grupę zagrożeń Sparkling Pisces (aka Kimsuky). Grupa słynie z wyrafinowanych operacji cyberszpiegowskich i zaawansowanych ataków phishingowych. Najbardziej znanym działaniem grupy był atak na Korea Hydro and Nuclear Power (KHNP) w 2014 roku[2].
Nazywana „królem spear phishingu”[3] Sparkling Pisces to kolejna grupa przeprowadzająca setki ataków mających na celu nakłonienie ofiar do pobrania i uruchomienia złośliwego oprogramowania. Niedawno grupa zaatakowała mieszkańców Korei Południowej, podszywając się pod legalną południowokoreańską firmę[4] i wykorzystując ważny certyfikat do podpisania złośliwego oprogramowania. Sparkling Pisces jest również znany ze swojej złożonej i stale ewoluującej infrastruktury.
Tego rodzaju zorganizowane grupy cyberprzestępców będą w kolejnych latach zwiększać skalę działania, zatem zarówno administracje państwowe, jak i firmy powinny się przygotować do odpierania coraz trudniejszych do opanowania ataków.
[1] https://unit42.paloaltonetworks.com/new-babyshark-malware-targets-u-s-national-security-think-tanks/
[2] https://www.industrialcybersecuritypulse.com/threats-vulnerabilities/throwback-attack-korea-hydro-and-nuclear-power-highlights-the-vulnerability-of-critical-systems/
[3] https://www.virusbulletin.com/virusbulletin/2020/03/vb2019-paper-kimsuky-group-tracking-king-spearphishing/
[4] https://medium.com/s2wblog/kimsuky-disguised-as-a-korean-company-signed-with-a-valid-certificate-to-distribute-troll-stealer-cfa5d54314e2