Nella rassegna di questa settimana, CTI analizza due campagne distinte che vedono coinvolti attori malintenzionati nordcoreani che si spacciano per persone in cerca di lavoro e reclutatori. Di seguito vi forniamo un aggiornamento sul bot dannoso di Telegram noto come Telekopye e sui suoi gestori. Infine, CTI analizza il modo in cui alcuni attori malintenzionati legati alla Corea del Nord hanno recentemente condotto due campagne su larga scala rivolte a macOS, tra cui RustBucket e KandyKorn.
1. Gli hacker si spacciano per persone in cerca di lavoro e reclutatori
I ricercatori stanno collegando alcuni attori malintenzionati nordcoreani (si apre in una nuova scheda) a due campagne in cui questi soggetti si fingono sia candidati in cerca di lavoro che reclutatori per diffondere malware.
Di seguito vi presentiamo un'analisi più approfondita di entrambe le campagne.
La prima campagna: Intervista a “Contagious”
Nella prima campagna, denominata “ ” (Intervista contagiosa) (si apre in una nuova scheda), gli autori delle minacce si spacciano per datori di lavoro e inducono gli sviluppatori di software a installare malware durante il processo di selezione. Palo Alto ha individuato attività sospette correlate risalenti già al marzo 2023, mentre l’infrastruttura della campagna era stata predisposta già nel dicembre 2022.
Sulla base dei nomi dei malware associati a questa campagna, i ricercatori ritengono che l’autore della minaccia tenda a spacciarsi per aziende legittime operanti nei settori dell’intelligenza artificiale, delle criptovalute e degli NFT, oppure per agenzie di reclutamento.
Dopo aver stabilito un contatto, l’autore dell’attacco invita la vittima a partecipare a un colloquio online. Durante il colloquio, cercano di convincere la vittima a scaricare e installare un pacchetto NPM dannoso ospitato su GitHub , che viene probabilmente presentato come software da esaminare o analizzare nell’ambito del colloquio. Il pacchetto contiene codice JavaScript dannoso e infetterà il sistema della vittima con un malware di tipo backdoor. Questo pacchetto NPM dannoso contiene codice JavaScript relativo a un malware scoperto di recente denominato BeaverTail.
- Il malware BeaverTail è sia uno strumento per il furto di informazioni sia un programma di caricamento. Prende di mira i portafogli di criptovalute e i dati delle carte di credito memorizzati nel browser web. Inoltre, recupererà ed eseguirà la fase successiva del malware, nota come InvisibleFerret.
Il malware richiede un intervento manuale per essere eseguito, poiché dipende dall'ambiente Node.js; ciò gli consente di eludere il rilevamento. Una volta installato su Windows, Linux o macOS, il programma raccoglierà informazioni di base sul sistema e cercherà le estensioni del browser associate ai portafogli di criptovalute.
- Il malware InvisibleFerret viene scaricato ed eseguito dai pacchetti NPM di BeaverTail. Si tratta di un malware Python multipiattaforma in grado di effettuare il fingerprinting, il controllo remoto, il keylogging, l’esfiltrazione di dati, il furto di informazioni dai browser e il download del client AnyDesk.
La seconda campagna: Wagemole
Nella seconda campagna, gli autori delle minacce cercano di ottenere un impiego non autorizzato presso diverse organizzazioni a scopo di lucro e di spionaggio. Si ritiene che questa campagna, denominata “Wagemole”, abbia avuto inizio già nel agosto 2022.
I ricercatori hanno rivolto la propria attenzione a un’infrastruttur GitHub e collegata alla campagna “Contagious Interview”, scoprendo un repository GitHub completamente diverso su un altro account. L’account conteneva file tra cui curriculum con identità false, domande e risposte ricorrenti nei colloqui di lavoro, testi di presentazione personale, copie di annunci di lavoro nel settore IT pubblicati da aziende statunitensi, una copia scannerizzata di una carta di residenza permanente statunitense rubata e un elenco di contatti di venditori non identificati.
Ogni curriculum falso presente nell’archivio GitHub riportava un numero di telefono statunitense diverso per i contatti personali; alcuni includevano link a un profilo su LinkedIn e/o a contenuti su GitHub , regolarmente aggiornati e con una lunga cronologia di attività. I candidati fraudolenti gestiscono più account per la posta elettronica, i siti web dedicati al lavoro freelance, i repository di codice sorgente e le piattaforme delle agenzie di collocamento.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La campagna “Contagious Interview” è in linea con molte altre condotte da attori malintenzionati affiliati alla Corea del Nord che si fingono reclutatori e tentano di infettare le persone in cerca di lavoro con malware. Quest’ultima campagna, tuttavia, sembra ribaltare la situazione, con gli attori malintenzionati che tentano di candidarsi e accettare offerte di lavoro presso varie aziende. Questa campagna è meno incentrata sugli aspetti tecnici e si concentra invece sulla formazione degli autori delle minacce sulle nozioni di base relative all’uso di curriculum falsi e alle modalità di risposta alle domande durante i colloqui di lavoro, al fine di ottenere un impiego legittimo e svolgere attività legate allo spionaggio. Le identità false stanno diventando sempre più motivo di preoccupazione su piattaforme come LinkedIn , data la facilità con cui è possibile creare un profilo falso su persona per svolgere attività lavorative da remoto.
2. Il bot Telegram “Telekopye” consente di mettere in atto truffe di phishing su larga scala
Sono disponibili nuovi dettagli su Telekopye (si apre in una nuova scheda), un bot dannoso di Telegram che gli autori delle minacce utilizzano per creare e-mail di phishing, siti web, messaggi SMS e altro ancora.
Gli autori delle minacce dietro l’operazione, il cui nome in codice è Neanderthals (si apre in una nuova scheda), gestiscono l’operazione come un’azienda legittima con una struttura gerarchica in cui i membri ricoprono vari ruoli.
In che modo i Neanderthal si uniscono a un gruppo
Telekopye recluta nuovi "Neanderthal" tramite annunci pubblicitari diffusi su vari canali, compresi i forum clandestini. Gli annunci sono molto espliciti e indicano che lo scopo dell’assunzione è quello di truffare gli utenti dei mercati online.
Gli aspiranti Neanderthal devono compilare un modulo di candidatura indicando dove hanno sentito parlare di Telekopye e quale esperienza possiedono. Una volta ottenuta l'approvazione, il Neanderthal potrà iniziare a utilizzare Telekopye e accedere a due canali: uno dedicato alla chat di gruppo, in cui potrà comunicare con gli altri utenti e consultare regolamenti e manuali, e un altro canale in cui sono archiviati i registri delle transazioni.
Tipi di truffe "Telekopye"
Esistono tre principali scenari di truffa messi in atto da Telekopye, ovvero la truffa del venditore, la truffa dell’acquirente e la truffa del rimborso.
- Truffa del venditore “”: in questa truffa, il “Neanderthal” si finge un venditore e cerca di indurre gli utenti ad acquistare e pagare un articolo inesistente. L'utente riceve un link a un sito web di phishing creato da Telekopye. Il link riproduce la pagina di pagamento del marketplace online legittimo, ma richiede le credenziali di accesso al servizio di online banking, i dati della carta di credito o altre informazioni sensibili.
- Truffa dell’acquirente: In questo caso, il “Neanderthal” si finge l’acquirente. Mostreranno interesse per un articolo in vendita e affermeranno di averlo già pagato. Il Neanderthal invia al venditore e-mail o messaggi di testo generati da Telekopye, contenenti un link a un sito di phishing in cui si sostiene che sia necessario cliccare su tale link affinché il venditore possa ricevere il proprio denaro dalla piattaforma. Il resto della truffa è molto simile alla truffa del venditore.
- Truffa del rimborso: Il “Neanderthal” creerà una situazione in cui il venditore si aspetta di ricevere un rimborso. Invieranno quindi un’e-mail di phishing contenente un link a un altro sito di phishing che ha lo stesso scopo delle truffe precedenti. Il malintenzionato invierà questa e-mail a venditori che non ha mai contattato in precedenza, sperando che questi ultimi, spinti dall’avidità, richiedano il rimborso, oppure abbinerà questa strategia allo scenario della truffa ai danni dei venditori. In quest’ultimo caso, quando l’acquirente sostiene di non aver ricevuto l’articolo acquistato, il “Neanderthal” gli invierà e-mail di phishing relative al rimborso per truffarlo una seconda volta.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea ESET, le truffe sui siti di e-commerce probabilmente non scompariranno a breve. Questa operazione si basa in larga misura sulla capacità di un “Neanderthal” di conquistare la fiducia della propria vittima prima di tentare di acquistare, vendere o rimborsare articoli. È interessante notare l’impostazione professionale di questa operazione, poiché si rivolgono esclusivamente a coloro che sono realmente qualificati per il ruolo e in grado di instaurare un rapporto di fiducia con le vittime in diverse lingue.
3. Attori malintenzionati legati alla Corea del Nord prendono di mira macOS in due campagne
Finora, nel corso di quest’anno, alcuni attori malintenzionati legati alla Corea del Nord hanno condotto due campagne di tipo “ ” su larga scala rivolte a macOS (si apre in una nuova scheda) , tra cui RustBucket e KandyKorn. Sembra che gli autori delle minacce stiano ora combinando e integrando elementi provenienti dalle due operazioni.
Informazioni su RustBucket e KandyKorn
La campagna originale RustBucket è apparsa per la prima volta su aprile 2023, utilizzando un malware di seconda fase noto come SwiftLoader. Questo malware si presentava esternamente come un visualizzatore di PDF per un documento esca inviato ai destinatari. Aveva il compito di recuperare ed eseguire una fase aggiuntiva del malware scritto in Rust.
La campagna KandyKorn è stata un’operazione in più fasi molto più articolata. L’attacco ha preso di mira gli ingegneri blockchain di una piattaforma di scambio di criptovalute e ha utilizzato script Python per iniettare malware che ha preso il controllo dell’applicazione Discord installata sul computer della vittima. Ha inoltre diffuso un trojan di accesso remoto (RAT) denominato KandyKorn.
Una ricerca condotta alla fine del ottobre 2023 ha descritto in dettaglio una campagna condotta da , attori malintenzionati allineati alla Corea del Nord (si apre in una nuova scheda) , che prevedeva un attacco articolato in cinque fasi. L'attacco è iniziato con una tecnica di ingegneria sociale volta a indurre gli utenti di Discord a scaricare un'applicazione Python dannosa, camuffata da bot di arbitraggio di criptovalute. Questo file Python App è stato inviato come Cross-Platform Bridges.zip e conteneva diversi script Python innocui.
Attività recenti di RustBucket
A prima vista, la campagna RustBucket sembra essere una campagna completamente diversa. Inizialmente, l’attacco prevedeva un’applet AppleScript di primo livello e un pacchetto applicativo basato su Swift denominato “Internal PDF Viewer.App”, che utilizzava file PDF appositamente creati per sbloccare il codice necessario al download di un payload basato su Rust. A partire dalla prima campagna RustBucket, sono state rilevate in ambiente reale diverse altre varianti di RustBucket, insieme a numerose varianti dello stager basato su Swift, che sono state collettivamente denominate SwiftLoader.
Il collegamento tra SwiftLoader e KandyKorn
Sono state rilevate diverse versioni di SwiftLoader in circolazione. Una versione è diffusa tramite un file esca denominato “crypto-assets and their risks for financial stability[.]App[.]zip”. L'applicazione è firmata e autenticata da Apple; l'identificatore del bundle è com.EdoneViewer e il file eseguibile principale è EdoneViewer. Questa versione di SwiftLoader presenta alcune interessanti analogie con l’operazione KandyKorn.
L'analisi del file eseguibile principale, EdoneViewer, mostra che contiene un indirizzo URL hardcoded. Il malware si collegherà a un dominio specifico e inserirà un file eseguibile nascosto nella cartella /users/shared/.pw. Lo script Python KandyKorn ha effettuato il collegamento con la fase successiva del malware ospitato su un dominio analogo e ha inserito file nascosti in una posizione analoga. Analogamente, è stata individuata una variante del RAT KandyKorn con lo stesso nome di un file denominato SwiftLoader, recuperato dal suo C2.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’analisi di Sentinel One mette in relazione due campagne già segnalate in precedenza, condotte da attori malintenzionati affiliati alla Corea del Nord. I risultati dell’analisi rivelano che tali attori malintenzionati stanno probabilmente condividendo i dropper RustBucket e i payload KandyKorn. Sebbene la loro analisi non riveli molte nuove TTP, essa evidenzia quanto sia comune per gli autori delle minacce condividere malware, migliorando così la loro maturità complessiva.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione. Per ulteriori approfondimenti, consulti le nostre recenti raccolte di informazioni sulle minacce informatiche .
