Cybercriminalità Sanzionata dal Governo – Cos’è il Lazarus Group?

Cybercrime è una minaccia. Le stime suggeriscono che il danno combinato che il cybercrime potrebbe infliggere ai sistemi di tutto il mondo è stato fino a 6 trilioni di dollari nel 2021. E se il numero appare già spaventoso, si prevede che raggiungerà i 10,5 trilioni di dollari entro il 2025. Nel 2015 era di 3 trilioni di dollari. Una crescita di oltre il 300 % in un decennio è qualcosa di cui tutti dobbiamo preoccuparci. Sì, hai letto bene!

Cos’è il cybercrime?

Il cybercrime è un termine ombrello che comprende una moltitudine di schemi e sforzi volti a disturbare, danneggiare e causare danni a reti e sistemi. Può essere qualsiasi tipo di attività malevola che prende di mira un computer, una rete informatica o un dispositivo connesso. Può trattarsi di un attacco malware, in cui l’aggressore infetta un sistema con un virus.

Una campagna di phishing utilizza email spam, messaggi o altre forme di comunicazione per ingannare il destinatario inducendolo a compromettere la privacy dei dati. Un attacco DDoS distribuito, spesso rivolto a dispositivi IoT, fa crollare un determinato sistema o rete.

Le tipologie di cybercrime possono includere anche il furto di dati finanziari, dati di carte o pagamenti, cyberestorsione, cyberspionaggio, violazione del copyright, gioco d’azzardo illegale, attacchi ransomware e altro.

Secondo i dati presentati dalla rinomata a livello globale azienda di sicurezza informatica Kaspersky, un singolo attacco, che può essere una violazione dei dati, malware, ransomware o attacco DDoS, può costare a un’azienda, indipendentemente dalle sue dimensioni, in media 200.000 dollari. Infatti, i dati della compagnia assicurativa Hiscox mostrano che le aziende colpite possono chiudere entro sei mesi dall’attacco.

Indubbiamente, il cybercrime comporta conseguenze gravi e severe. Gli aggressori o hacker sono sparsi in tutto il mondo e sono in grado di attaccare qualsiasi sistema o rete da qualsiasi luogo remoto.

Tuttavia, il crimine è qualcosa che generalmente non associamo alle agenzie governative. Esse applicano le leggi. Raramente le consideriamo autrici di reati. E saresti sicuramente sorpreso se, a questo punto, sollevassimo il caso del cybercrime sanzionato dal governo. Tuttavia, non è raro utilizzare il cybercrime per scopi politici e andare oltre i guadagni monetari. Qui discuteremo un caso tipico di tale natura, che accusa la complicità dello Stato nella commissione di cybercrime.

Il Caso Curioso di Jon Chang Hyok e Kim Il

Il sito del Federal Bureau of Investigation (FBI) menziona due individui nordcoreani nella sua lista dei più ricercati. Sia Jon Chang Hyok che Kim Il sono accusati di cospirazione per commettere frodi telematiche e bancarie e frodi informatiche. Entrambi sarebbero hacker sponsorizzati dallo Stato, facenti parte di una presunta cospirazione criminale che ha portato a alcune delle intrusioni informatiche più costose della storia. Ma non si tratta di imputati ordinari. Non sono autori che operano con il semplice obiettivo di saccheggiare fondi. Il loro scopo è più profondo e più oscuro di quanto ci si possa aspettare.
Entrambi sono presunti membri di un gruppo di hacker del Reconnaissance General Bureau del governo nordcoreano. La cospirazione di cui facevano parte comprende gruppi di hacking nordcoreani che molti ricercatori di sicurezza informatica hanno etichettato come Advanced Persistent Threat 38 (APT38) o “Lazarus Group”.

Il Lazarus Group e le sue Presunte Malefatte

L’ultima menzione del famigerato Lazarus Group è emersa quando, alla fine di gennaio 2022, l’FBI ha confermato che era il gruppo a aver orchestrato l’hack del Harmony Bridge da 100 milioni di dollari nel giugno 2022.

Il 23 giugno 2022, il team del protocollo Harmony ha identificato un furto sul ponte Horizon per un valore di circa 100 milioni di dollari. Nella sua dichiarazione del 23 gennaio, l’FBI ha chiaramente confermato che il Lazarus Group e APT38, “attori cyber associati alla DPRK”, erano responsabili del furto di 100 milioni di dollari in valuta virtuale. Gli aggressori hanno sfruttato vulnerabilità di sicurezza presenti nel ponte Horizon Ethereum di Harmony e hanno sottratto diversi asset conservati nel ponte tramite 11 transazioni.

Prima dell’hack del Harmony Horizon Bridge, il nome del famigerato Lazarus Group è comparso anche nei rapporti sul Ronin Bridge hack da 600 milioni di dollari, avvenuto a marzo 2022. Per chi non conosce il Ronin Bridge Hack, è stato il più grande sfruttamento di asset virtuali del 2022. I fondi rubati ammontavano a un impressionante 612 milioni di dollari, includendo 173.600 ETH e 25,5 milioni di monete USD.

Axie Infinity, un gioco NFT play-to-earn, utilizzava Ronin come sidechain di Ethereum. Spiegando la natura dell’attacco, gli sviluppatori di Axie Infinity, Sky Mavis, hanno sottolineato che gli hacker hanno ottenuto l’accesso alle chiavi private per compromettere i nodi validator e approvare transazioni fraudolente, svuotando i fondi dal ponte.

L’Ufficio di Controllo dei Beni Esteri (OFAC) del Dipartimento del Tesoro degli Stati Uniti ha aggiornato la sua lista di Nationali Designati Speciali e Persone Bloccate (SDN) a metà aprile 2022 per suggerire la possibilità che il Lazarus Group orchestrasse l’hack. Gli hacker erano così sofisticati e clandestini nella loro azione che la scoperta è avvenuta diversi giorni dopo l’attacco, nonostante fosse una delle più grandi rapine del suo genere nello spazio cripto.

Lo stesso è stato il caso dell’hack del Harmony Horizon Bridge, in cui il Lazarus Group ha sfruttato RAILGUN, un protocollo di privacy, per trasferire oltre 60 milioni di dollari in Ethereum rubati durante l’attacco. Secondo le indagini dell’FBI, una parte di questi fondi è stata mantenuta congelata in collaborazione con alcuni VASP, mentre i Bitcoin residui sono stati successivamente spostati verso altri indirizzi.

L’FBI ha mantenuto operative le sue unità cyber e di asset virtuali, insieme all’ufficio del Procuratore degli Stati Uniti e all’unità Crypto del Dipartimento di Giustizia degli Stati Uniti, per identificare, intercettare e ostacolare le attività di questo gruppo nordcoreano. L’agenzia ritiene che il furto e il riciclaggio di valute virtuali da parte del gruppo siano destinati a sostenere i programmi di missili balistici e armi di distruzione di massa della Corea del Nord.

Emessa una Consulenza Congiunta sulla Cybersecurity

Il 18 aprile 2022, la Cybersecurity and Infrastructure Security Agency (CISA), insieme all’FBI e al Tesoro degli Stati Uniti, ha pubblicato una consulenza sull'”attività sponsorizzata dallo Stato nordcoreano che prende di mira la tecnologia blockchain e l’industria delle criptovalute”.

Le Minacce

La consulenza osserva che la minaccia cyber associata ai furti di criptovalute è attiva da almeno il 2020. Il documento, in termini chiari, riconosce anche questa minaccia di gruppo persistente avanzato (APT) come sponsorizzata dallo Stato nordcoreano. Le agenzie hanno identificato il gruppo come Lazarus Group, APT 38, BlueNoroff e Stardust Chollima.

L’analisi della minaccia da parte del governo degli Stati Uniti identifica questi attori cyber malevoli come entità che prendono di mira una varietà di organizzazioni nell’industria blockchain e cripto. Non risparmiano nessuno. L’elenco dei bersagli comprende exchange di criptovalute, protocolli DeFi, videogiochi cripto P2E, società di trading cripto, fondi di venture capital e detentori individuali di grandi quantità di criptovalute o NFT di valore.

Il Lazarus Group e attori cyber simili sono abili nell’ingegneria sociale delle vittime attraverso una varietà di piattaforme di comunicazione, inducendole infine a scaricare applicazioni cripto trojanizzate su sistemi operativi Windows e macOS. Attraverso queste applicazioni, gli hacker ottengono accesso al computer dell’utente finale e distribuiscono malware in tutto l’ambiente di rete.

La consulenza ha sottolineato che il Lazarus Group è responsabile del targeting di una serie di aziende, entità ed exchange nell’industria blockchain e cripto. Il loro metodo consisteva in campagne di spear‑phishing e nell’uso di malware per rubare.

Malware AppleJeus

L’FBI, la CISA e il DoT hanno riconosciuto specificamente l’uso del malware AppleJeus nel targeting da parte del Lazarus Group di organizzazioni per furti di criptovalute in più di 30 paesi negli ultimi anni. Il rapporto dell’agenzia ha osservato che la Corea del Nord ha utilizzato “malware AppleJeus mascherato da piattaforme di trading di criptovalute” sin almeno dal 2018.

L’applicazione malevola sembra essere generata da una legittima società di trading cripto. Gli individui, intrappolati dal malware, credono che si tratti di un’applicazione di terze parti proveniente da un sito web legale e la scaricano.

Il governo nordcoreano ha presumibilmente utilizzato diverse versioni del malware negli ultimi cinque anni, da quando è stato scoperto nel 2018.

Il Metodo di Esecuzione

I cybercriminali avviano le loro operazioni inviando un gran numero di campagne di phishing ai dipendenti delle aziende cripto. Puntano principalmente su persone che lavorano nell’amministrazione di sistemi o nello sviluppo software/operazioni IT (DevOps).

I messaggi che questi hacker inviano sono per lo più avvisi di reclutamento che offrono lavori ben retribuiti. Con questi incentivi, inducono i dipendenti a scaricare applicazioni cripto cariche di malware, denominate dal governo TraderTraitor. Le campagne TraderTraitor presentano siti web dal design moderno con pubblicità.

Mentre elencava Jon Chang Hyok nella lista dei più ricercati dell’FBI, l’agenzia ha associato al suo nome reati simili, affermando che sarebbe stato presumibilmente coinvolto direttamente nello “sviluppo e nella diffusione di applicazioni cripto malevoli che prendono di mira numerosi exchange di criptovalute e altre aziende”.

Per Kim Il, il crimine presunto comprendeva “rapine abilitate dal cyber da istituzioni finanziarie” e la truffa ICO Marine Chain.

La truffa ICO Marine Chain è stata avviata da tre operativi dell’intelligence nordcoreana. Si trattava di un inganno malevolo per raccogliere fondi fraudolentemente durante il picco del boom ICO del 2018, quando quasi 12 miliardi di dollari furono raccolti da vari progetti.

Marine Chain si presentava come il “mercato globale di investimenti marittimi di nuova generazione abilitato dalla tecnologia blockchain”. Prometteva che i proprietari di navi potessero tokenizzare la proprietà parziale delle loro imbarcazioni e vendere queste monete di proprietà frazionata a individui e istituzioni. Lo chiamavano Vessel Token Offerings, che avrebbe avuto luogo sulla blockchain Ethereum.

Kim Il e Jon Chang Hyok, insieme a Park Jin Hyok – tutti provenienti dalla Corea del Nord – sono stati i fondatori del Marine ICO. Hanno nascosto il fatto di essere membri dell’agenzia militare nordcoreana, il Reconnaissance General Bureau (RGB). Hanno usato nomi falsi e hanno indirizzato ogni singolo centesimo raccolto nell’ICO verso la Corea del Nord, eludendo le sanzioni statunitensi. Il trio è stato accusato di un tentativo di furto per 1,3 miliardi di dollari attraverso numerosi piani di estorsione e attacchi cyber.

Cosa Accadrà?

Mentre le agenzie investigative statunitensi continuano a scoprire e monitorare hack e tentativi di estorsione con regolarità, sia Kim Il che Jon Chang Hyok rimangono nella lista dei più ricercati dell’FBI. Sono stati emessi mandati d’arresto. Tuttavia, la CISA era certa nella loro dichiarazione che “questi attori probabilmente continueranno a sfruttare le vulnerabilità delle aziende tecnologiche di criptovaluta, delle società di giochi e degli exchange per generare e riciclare fondi a sostegno del regime nordcoreano.”