Kuzey Koreli bilgisayar korsanları, kripto para birimini çalan sosyal mühendislik kampanyalarında kötü amaçlı yazılımları barındırmak ve dağıtmak için akıllı sözleşmelerden yararlanan 'EtherHiding' tekniğini benimsedi.
Google Tehdit İstihbarat Grubu (GTIG), dahili olarak UNC5342 olarak takip edilen Kuzey Kore ulus devleti tehdit aktörünün Şubat ayından bu yana Bulaşıcı Mülakat operasyonlarında EtherHiding'i kullandığını söylüyor.
Araştırmacılar, ilk kez devlet destekli bir hacker grubunun bu yöntemi kullandığını gördüklerini belirtiyor.
İlk olarak 2023'te Guardio Labs tarafından tanımlanan EtherHiding, yüklerin halka açık bir blok zincirindeki (Binance Smart Chain veya Ethereum) akıllı sözleşmelere yerleştirildiği bir kötü amaçlı yazılım dağıtım tekniğidir. Tehdit aktörü böylece kötü amaçlı komut dosyalarını barındırabilir ve gerektiğinde bunları alabilir.
Blockchain'lerin çalışma şekli nedeniyle EtherHiding, çok düşük bir maliyetle anonimlik, yayından kaldırma eylemlerine karşı direnç sunar ve esnek yük güncellemesine olanak tanır. Ayrıca, yüklerin getirilmesi, görünür bir işlem geçmişi bırakmayan salt okunur çağrılar yoluyla mümkün olup, sürece gizlilik katar.
Saldırılar genellikle, yazılım ve web geliştiricilerini hedef alan, özenle üretilmiş kuruluşlardan (BlockNovas LLC, Angeloper Agency, SoftGlide LLC) Kuzey Kore'ye özgü sosyal mühendislik taktiklerinin ayırt edici özelliği olan sahte iş görüşmelerini başlatıyor.
Kurban, röportajın teknik değerlendirmesinin bir parçası olarak, bir JavaScript indiricisini çalıştıran kodu çalıştırması için kandırılır.
Araştırmacılar, "akıllı sözleşmenin, genellikle uzun vadeli casusluk için kullanılan InvisibleFerret kötü amaçlı yazılımının JavaScript versiyonu olan üçüncü aşama yükünü almak için Ethereum ile etkileşime giren JADESNOW indiricisine ev sahipliği yaptığını" söylüyor.
GTIG, veri yükünün bellekte çalıştığını ve Ethereum'dan kimlik bilgilerini çalan başka bir bileşen isteyebileceğini belirtiyor.
Araştırmacılara göre bilgisayar korsanları, Ethereum veya BNB Smart Chain'den bir yük almak için JADESNOW'u kullanabilir, bu da analizi daha da zorlaştırır.
GTIG, "Bir tehdit aktörünün EtherHiding etkinliği için birden fazla blok zinciri kullandığını görmek olağandışı bir durumdur; bu, Kuzey Koreli siber operatörlerin ekipleri arasındaki operasyonel bölümlendirmeyi gösterebilir" diyor.
GTIG, "İşlem ayrıntıları, sözleşmenin ilk dört ay içinde 20 defadan fazla güncellendiğini ve her güncellemenin ortalama 1,37 ABD Doları gaz ücretine mal olduğunu gösteriyor" diye açıklıyor.
Araştırmacılar, "Bu güncellemelerin düşük maliyeti ve sıklığı, saldırganın kampanyanın yapılandırmasını kolayca değiştirebilme yeteneğini gösteriyor" diyor.
Kötü amaçlı yazılım arka planda çalışıyor ve keyfi komutları yürütmek ve ZIP biçimindeki dosyaları harici bir sunucuya veya Telegram'a aktarmak gibi kendi komut ve kontrolünden (C2) gelen komutları dinliyor.
Kimlik bilgisi hırsızı bileşeni, Chrome ve Edge gibi web tarayıcılarında depolanan şifreleri, kredi kartlarını ve kripto para cüzdanı (MetaMask ve Phantom) bilgilerini hedefler.
EtherHiding'in Kuzey Koreli tehdit aktörleri tarafından benimsenmesi, kampanya takibi ve aksama karmaşıklıkları yaratan dikkate değer bir gelişmedir.
Çekici iş teklifleriyle hedeflenen kişiler, herhangi bir şey indirmeleri istendiğinde dikkatli olmalı ve dosyaları önce yalıtılmış ortamlarda test etmelidir.
GTIG, yöneticilerin Chrome Enterprise'da riskli dosya türleri (.EXE, .MSI, .BAT, .DLL) için indirme kısıtlamaları koymasını, tarayıcı güncellemelerinin tam kontrolünü üstlenmesini ve sıkı web erişimi ve komut dosyası yürütme politikaları uygulamasını önerir.
Ortamların %46'sında şifreler kırıldı; bu oran geçen yılki %25'ten neredeyse iki katına çıktı.
Önleme, tespit ve veri hırsızlığı eğilimlerine ilişkin daha fazla bulguya kapsamlı bir bakış için Picus Blue Report 2025'i hemen edinin.
Bilgisayar korsanları, kötü amaçlı komut dosyalarını depolamak için Binance Smart Chain sözleşmelerini kullanıyor
ABD, yeni yaptırımlarla Kuzey Kore BT işçileri ordusunu hedef alıyor
Kuzey Koreli bilgisayar korsanları bu yıl 2 milyar dolardan fazla kripto para çaldı
XenoRAT kötü amaçlı yazılım kampanyası Güney Kore'deki birden fazla elçiliği vurdu
Kaynak: Bleeping Computer