Noord-Koreaanse hackgroep steelt miljoenen die zich voordoen als Japanse VC's en banken

Op 27 december kondigde Kaspersky Lab aan dat de Noord-Koreaanse hackgroep 'BlueNoroff' miljoenen dollars aan cryptocurrencies had gestolen na het creëren van meer dan 70 nepdomeinen en zich voor te doen als banken en durfkapitaalfirma's.

Volgens de onderzoek, imiteerden de meeste domeinen Japanse durfkapitaalfirma's, wat duidt op een sterke interesse in gebruikers- en bedrijfsgegevens in dat land.

“Na onderzoek van de infrastructuur die werd gebruikt, ontdekten we meer dan 70 domeinen die door deze groep werden gebruikt, wat betekent dat ze tot voor kort zeer actief waren. Ook creëerden ze tal van nepdomeinen die eruitzien als durfkapitaal- en bankdomeinen.”

De Bluenoroff Group heeft zijn infectietechnieken geperfectioneerd

Tot een paar maanden geleden gebruikte de BlueNoroff-groep Word-documenten om malware te injecteren. Ze hebben echter onlangs hun technieken verbeterd door een nieuw Windows Batch-bestand te maken waarmee ze de reikwijdte en uitvoeringsmodus van hun malware kunnen uitbreiden.

Deze nieuwe .bat-bestanden omzeilen de beveiligingsmaatregelen van Windows Mark-of-the-Web (MOTW), een verborgen markering die wordt toegevoegd aan bestanden die van internet zijn gedownload om gebruikers te beschermen tegen bestanden van niet-vertrouwde bronnen.

Na een grondig onderzoek eind september bevestigde Kaspersky dat de BlueNoroff-groep niet alleen nieuwe scripts gebruikte, maar ook .iso- en .vhd-schijfkopiebestanden begon te gebruiken om virussen te verspreiden.

Kaspersky ontdekte ook dat een gebruiker in de Verenigde Arabische Emiraten het slachtoffer werd van de BlueNoroff-groep na het downloaden van een Word-document genaamd "Shamjit Client Details Form.doc", waarmee de hackers verbinding konden maken met zijn computer en informatie konden extraheren terwijl ze probeerden zelfs krachtigere malware.

Nadat de hackers waren ingelogd op de computer, "probeerden ze vingerafdrukken van het slachtoffer te nemen en extra malware met hoge rechten te installeren", maar het slachtoffer voerde verschillende opdrachten uit om basissysteeminformatie te verzamelen, waardoor werd voorkomen dat de malware zich nog verder verspreidde.

Hacktechnieken worden gevaarlijker

Geloof of niet, rapporten zeggen dat Noord-Korea de wereldleider is op het gebied van crypto-criminaliteit. Rapporten zeggen dat Noord-Koreaanse hackers tot mei 1 voor meer dan $ 2022 miljard aan crypto hebben kunnen stelen. De grootste groep, Lazarus, is aangewezen als verantwoordelijk voor grote phishing-aanvallen en technieken voor het verspreiden van malware

Na de diefstal van meer dan 620 miljoen dollar van Axie Infinity, de Noord-Koreaanse hackergroep Lazarus, een van de grootste hackergroepen ter wereld, zamelde genoeg geld in om hun software zodanig te verbeteren dat ze een geavanceerd cryptocurrency-schema creëerden via een domein genaamd bloxholder.com dat ze gebruikten als een dekmantel om de privésleutels van veel van hun 'klanten' te stelen.

As gerapporteerd door Microsoft zijn aanvallen gericht op cryptocurrency-organisaties voor hogere beloningen de afgelopen jaren toegenomen, dus aanvallen zijn complexer geworden dan voorheen.

Een van de nieuwste technieken die door hackers via Telegram-groepen worden gebruikt, is het verzenden van geïnfecteerde bestanden vermomd als Excel-tabellen met als een hook de kostenstructuren van het beursbedrijf.

Zodra de slachtoffers de bestanden openen, downloaden ze een reeks programma's waarmee de hacker op afstand toegang kan krijgen tot het geïnfecteerde apparaat, of dit nu een mobiel apparaat of een pc is.