Ny Cyberangrepskampanje fra Nordkorea
Nordkoreanske hackere har lansert en ny cyberangrepskampanje som retter seg mot kryptovalutaselskaper ved å bruke en sofistikert malware-streng kjent som NimDoor. Denne malware er designet for å infiltrere Apple-enheter og omgå innebygde minnebeskyttelser for å hente ut sensitiv informasjon fra kryptovaluta-lommebøker og nettlesere.
Angrepsmetode
Angrepet begynner med sosial manipulasjon på plattformer som Telegram, hvor hackerne utgir seg for å være betrodde kontakter for å engasjere ofrene i samtale. De inviterer deretter målet til et falskt Zoom-møte, forkledd som en Google Meet-økt, og sender en fil som etterligner en legitim Zoom-oppdatering. Denne filen fungerer som leveringsmetode for den ondsinnede lasten.
Når den kjøres, installerer malware NimDoor på offerets enhet, som deretter begynner å samle inn sensitiv informasjon, spesielt rettet mot kryptovaluta-lommebøker og lagrede nettleserlegitimasjoner.
Teknologisk Innovasjon
Forskere ved cybersikkerhetsfirmaet SentinelLabs avdekket denne nye taktikken og bemerket at bruken av programmeringsspråket Nim skiller denne malware fra andre. Nim-kompilerte binære filer er sjelden sett målrettet mot macOS, noe som gjør malware mindre gjenkjennelig for konvensjonelle sikkerhetsverktøy og potensielt vanskeligere å analysere og oppdage.
Forskerne observerte at nordkoreanske trusselaktører tidligere har eksperimentert med programmeringsspråk som Go og Rust, men overgangen til Nim reflekterer en strategisk fordel på grunn av dets plattformuavhengige egenskaper. Dette gjør at den samme kodebasen kan kjøre på Windows, Linux og macOS uten modifikasjon, noe som øker effektiviteten og rekkevidden av angrepene deres.
Tyveri av Legitimasjon
Den ondsinnede lasten inkluderer en komponent for tyveri av legitimasjon som er konstruert for diskret å samle inn nettleser- og systemnivådata, pakke informasjonen og overføre den til angriperne. I tillegg identifiserte forskerne et skript innen malware som retter seg mot Telegram ved å hente ut både den krypterte lokale databasen og de tilsvarende dekrypteringsnøklene.
Det er verdt å merke seg at malware bruker en forsinket aktiveringsmekanisme og venter ti minutter før den utfører sine operasjoner, i et tilsynelatende forsøk på å unngå sikkerhetsskannere.
