Gli hacker nordcoreani continuano l’assalto ai beni digitali

Mentre gli hacker statali iraniani hanno condotto attacchi ransomware e attività di mining di criptovalute, e si ritiene che la Russia utilizzi gruppi ransomware privati in alcune capacità, il governo nordcoreano è l’unico grande avversario a includere la cybercriminalità finanziaria nelle sue attività offensive come obiettivo principale.

Il programma di cybercriminalità della Corea del Nord è a più teste, con tattiche che vanno dal furto in banca al dispiegamento di ransomware fino al furto di criptovalute da exchange online.

Soprannominati Lazarus, Kimsuky e BeagleBoyz, gli hacker nordcoreani utilizzano strumenti sempre più sofisticati per penetrare reti militari, governative, aziendali e dell’industria della difesa in tutto il mondo, conducendo spionaggio informatico ed esfiltrando dati classificati per contribuire allo sviluppo delle armi nordcoreane.

Gli attori maligni hanno ingannato gli individui per ottenere accesso o compromettere la sicurezza, drenando fondi digitali da portafogli connessi a Internet verso indirizzi controllati dalla Corea del Nord. La nazione colpita dalle sanzioni si è rivolta a metodi elaborati per riciclare le criptovalute rubate, intensificando l’uso di strumenti software che aggregano e mescolano criptovalute provenienti da migliaia di indirizzi.

Lo scorso anno, il Dipartimento di Giustizia degli Stati Uniti ha accusato tre programmatori nordcoreani per aver partecipato a una vasta cospirazione criminale volta a condurre una serie di attacchi informatici distruttivi per rubare e estorcere più di 1,3 miliardi di dollari in denaro e criptovalute da istituzioni finanziarie e aziende, creare e distribuire più applicazioni dannose per criptovalute e sviluppare e commercializzare fraudolentemente una piattaforma blockchain.

In realtà, l’attacco della Corea del Nord alle criptovalute è in corso, avendo accumulato oltre un miliardo da quando è terminato l’ultimo mercato rialzista.

$1,2 Mld rubati dal 2017

La scorsa settimana, il Servizio Nazionale di Intelligence (NIS) della Corea del Sud ha pubblicato un nuovo rapporto che segnala che gli hacker nordcoreani hanno rubato circa 1,5 trilioni di won (1,2 miliardi di dollari) in criptovalute negli ultimi cinque anni. E più della metà di questa somma è stata rubata solo quest’anno, e appena 78 milioni di dollari di questo enorme importo provengono dalla Corea del Sud.

Secondo l’agenzia di spionaggio della Corea del Sud, più di 800 miliardi di won coreani (620 milioni di dollari) in criptovalute sono stati rubati solo quest’anno. Parlando della questione, un portavoce del NIS ha dichiarato che questo intero attacco è avvenuto all’estero, aggiungendo: “In Corea, le transazioni di asset virtuali sono state convertite in transazioni a nome reale e la sicurezza è stata rafforzata, quindi non ci sono danni.”

Per chi non fosse a conoscenza di questo sviluppo, nel 2021 il governo sudcoreano ha introdotto nuove regole sul KYC (know-your-customer) per il trading di criptovalute. Essa impone che tutti gli exchange di criptovalute nel paese richiedano ai loro clienti di creare un conto a nome reale presso la stessa banca che utilizzano per depositare o prelevare i fondi.

E sia l’exchange che la banca sono quindi tenuti a verificare l’identità del cliente. Inoltre, gli exchange devono ottenere una licenza dalla Financial Services Commission (FSC) prima di avviare le operazioni.

I gruppi di hacker nordcoreani sono stati collegati a diversi violazioni su larga scala di criptovalute quest’anno — incluso l’attacco da 100 milioni di dollari a Harmony. Gli esperti suggeriscono che questi attacchi siano un modo per la nazione di generare riserve di valuta estera, poiché affrontano severe sanzioni commerciali da parte della comunità internazionale.

Secondo il NIS, la Corea del Nord possiede alcune delle migliori capacità al mondo di furto di asset digitali. Ciò è dovuto al focus del paese sulla cybercriminalità sin dal 2017, quando le sanzioni economiche delle Nazioni Unite sono state inasprite in risposta ai suoi test nucleari e missilistici.

L’agenzia ha anche avvertito che gli attacchi informatici nordcoreani si intensificheranno l’anno prossimo: “È necessario analizzare gli attacchi con la stessa attenzione delle difese. Perché un’organizzazione di hacker possiede tutte le informazioni sugli attacchi e non le dimentica. È necessario raccogliere informazioni relative al codice maligno sparso da vari aggressori per trovare intuizioni significative.”

Gli hacker della Corea del Nord impiegano le tattiche abituali usate da altri gruppi di hacking statali e cybercriminali, inclusi ingegneria sociale, phishing e exploit software.

Testare nuovi metodi di distribuzione del malware

Il sottogruppo BlueNoroff di Lazarus è noto per distribuire un arsenale diversificato di malware in attacchi a più fronti contro le aziende per ottenere fondi illecitamente. Include una combinazione di tattiche di phishing sofisticate e malware per riciclare i fondi.

Secondo il rapporto di Kaspersky di questa settimana, BlueNoroff ha rinnovato il suo targeting di società di venture capital, startup crypto e banche dopo essere stato silenzioso per gran parte dell’anno. Il gruppo ora mostra un picco di attività.

BlueNoroff ha creato oltre 70 domini falsi progettati per sembrare società di venture capital. La maggior parte dei falsi si presenta come note aziende giapponesi, mentre altri hanno assunto l’identità di società statunitensi e vietnamite.

Secondo un rapporto recente, il gruppo ha sperimentato nuovi tipi di file e altri metodi di distribuzione del malware. Una volta in atto, il suo malware può eludere gli avvisi di sicurezza Windows Mark-of-the-Web (MoTW) sul download di contenuti. Prosegue quindi a “intercettare grandi trasferimenti di criptovalute, modificando l’indirizzo del destinatario e spingendo l’importo del trasferimento al limite, essenzialmente svuotando il conto in un’unica transazione”.

Man mano che le minacce informatiche peggiorano, le aziende devono essere più vigili che mai per proteggersi. Questo è secondo Seongsu Park, ricercatore di Kaspersky, che avverte che “il prossimo anno sarà caratterizzato da epidemie informatiche con il più grande impatto, la cui forza non è mai stata vista prima”.

Gli operatori associati al sottogruppo Lazarus BlueNoroff sono stati collegati a diversi attacchi informatici contro piccole e medie imprese in tutto il mondo. Anche gli NFT non sono fuori dal radar del gruppo di hacker, poiché gli attori minacciosi nordcoreani associati al Lazarus Group hanno cercato di rubare token non fungibili nelle ultime settimane.

Furti di NFT tramite Phishing

La società di sicurezza blockchain SlowMist ha pubblicato un rapporto alla fine della scorsa settimana che ha approfondito le attività di phishing su larga scala condotte da gruppi APT nordcoreani che prendono di mira gli utenti NFT.

SlowMist ha scoperto che una delle tecniche usate in un recente attacco di phishing prevedeva la creazione di falsi siti web di esca legati agli NFT con Mints dannosi. Questi NFT sono stati poi venduti su piattaforme popolari come OpenSea, Rarible e X2Y2.

Il gruppo Advanced Persistent Threat (APT) è stato identificato come TraderTraitor dal governo degli Stati Uniti già nel 2020, e ha preso di mira utenti di Crypto e NFT con una campagna di phishing che ha utilizzato fino a 500 diversi nomi di dominio.

Le caratteristiche uniche di phishing comunemente usate da questi hacker comprendevano siti web di phishing che registravano i dati dei visitatori e li salvavano su siti esterni, richiedendo un listino prezzi degli oggetti NFT e un file “imgSrc.js” che collegava le immagini al progetto target.

Analizzando i metodi di phishing, SlowMist ha inoltre scoperto che gli hacker hanno utilizzato più token, come WETH, USDC, DAI e UNI, ecc., nei loro attacchi di phishing.

Il più grande attacco a Ronin

All’inizio di quest’anno, il Lazarus Group è riuscito anche a sifonare più di 600 milioni di dollari di criptovaluta dalla blockchain Ronin utilizzata dal gioco NFT Axie Infinity. La società di analisi blockchain Chainalysis ha definito l’attacco il più grande hack di criptovaluta finora.

Creata da uno studio di giochi vietnamita, Axie Infinity ha avuto più di un milione di giocatori attivi a un certo punto. E all’inizio di quest’anno, la blockchain che sostiene il mondo virtuale del gioco è stata saccheggiata da una setta di hacker nordcoreani, che ha portato via circa 620 milioni di dollari in Ethereum.

Solo circa 30 milioni di dollari del bottino crypto sono stati finora recuperati dopo che un’alleanza di agenzie di applicazione della legge e società di analisi crypto ha tracciato parte dei fondi rubati attraverso una serie di DEX e “crypto mixer”, un servizio che mescola le criptovalute di molti utenti per offuscare i proprietari e le origini dei fondi.

Gli Stati Uniti hanno successivamente sanzionato il mixer Tornado Cash, che il Tesoro statunitense ha dichiarato essere stato usato dagli hacker per riciclare più di 450 milioni di dollari del loro bottino in Ethereum.

Anche le startup di investimento crypto sono state prese di mira

In mezzo a tutti questi attacchi, Microsoft (MSFT ) ha annunciato all’inizio di questo mese di aver identificato un attore di minaccia che prende di mira le startup di investimento in criptovalute. Il gruppo, che Microsoft ha soprannominato DEV-0139, si presenta come una società di investimento in criptovalute su Telegram e utilizza un file Excel armato per infettare i sistemi a cui accede da remoto.

La minaccia ha mostrato un alto livello di sofisticazione, identificandosi falsamente con profili falsi di dipendenti di OKX e aderendo a gruppi Telegram “utilizzati per facilitare la comunicazione tra clienti VIP e piattaforme di scambio di criptovalute”, ha scritto Microsoft.

Stiamo osservando un aumento di attacchi sofisticati in cui l’attore della minaccia è molto esperto e ha dedicato tempo alla preparazione, spesso costruendo fiducia con il loro bersaglio prima di distribuire i payload, ha aggiunto.

Ad esempio, qualche mese fa, un bersaglio è stato invitato a unirsi a un gruppo e gli è stato chiesto un feedback su un documento Excel che confrontava le strutture delle commissioni VIP degli exchange crypto HTX, Binance e OKX. Il documento forniva informazioni accurate e una grande consapevolezza del trading di criptovalute, ma ha anche caricato silenziosamente un file .dll (Dynamic Link Library) dannoso per creare una backdoor nel sistema dell’utente. Il bersaglio è stato poi invitato ad aprire il file dannoso da solo durante la discussione.

Microsoft ha suggerito che DEV-0139 sia lo stesso attore che la società di cybersecurity Volexity ha collegato al Lazarus Group, utilizzando una variante del malware AppleJeus e un installer Microsoft (MSI).

Nel 2021, l’AppleJeus è stato documentato dall’Agenzia federale statunitense per la Cybersecurity e la Sicurezza delle Infrastrutture.

Un continuo aumento degli attacchi crypto

C’è stato in realtà un recente aumento nella dimensione degli attacchi alle criptovalute condotti dal governo nordcoreano, secondo Chainalysis.

Il Lazarus Group è stato collegato a sette attacchi su piattaforme di criptovalute, che hanno fruttato quasi 400 milioni di dollari in asset digitali solo nel 2021, rispetto a 300 milioni di dollari nel 2020, secondo un rapporto della società di analisi blockchain.

In uno dei suoi anni più riusciti registrati, il numero di hack collegati alla Corea del Nord è passato da quattro a sette nel 2021, mentre il valore estratto da questi hack è cresciuto del 40%.

Secondo il rapporto, una volta che la Corea del Nord ha ottenuto la custodia dei fondi, ha immediatamente avviato un attento processo di riciclaggio del denaro per incassarlo senza essere rilevata.

Sebbene Chainalysis non abbia identificato tutti i bersagli degli hack di criptovalute, ha affermato che erano principalmente società di investimento e exchange centralizzati. Inoltre, uno di questi exchange, Liquid.com, ha annunciato ad agosto che un utente non autorizzato aveva ottenuto l’accesso a alcuni dei suoi portafogli di criptovalute.

Secondo Chainalysis, gli aggressori hanno utilizzato esche di phishing, malware, exploit di codice e ingegneria sociale avanzata per sottrarre fondi dai “wallet hot” di queste organizzazioni verso indirizzi controllati dalla Corea del Nord.

Il rapporto ha inoltre affermato che i ricercatori hanno identificato 170 milioni di dollari in vecchie riserve di criptovalute non riciclate provenienti da 49 hack separati dal 2017 al 2021, suggerendo un piano accurato per incassare tutto, e “non è disperato né affrettato”.

Nota finale

Ci si prevede che gli hacker continueranno a sfruttare le vulnerabilità delle aziende tecnologiche di criptovalute, delle società di giochi e degli exchange per generare e riciclare fondi a sostegno del regime nordcoreano.

È evidente che si tratta di un problema serio, poiché la Corea del Nord è nota per utilizzare attacchi informatici per rubare fondi a sostegno del suo programma di armi nucleari. Ciò evidenzia l’importanza della cybersecurity, soprattutto per le aziende e le organizzazioni che potrebbero essere bersaglio di hacker sponsorizzati dallo Stato.

Sebbene il governo nordcoreano abbia negato il coinvolgimento in tali attività, le prove suggeriscono che gli hacker operino con la benedizione del regime. Data questa minaccia continua rappresentata dagli hacker nordcoreani, le aziende e gli individui dovrebbero rimanere vigili e adottare misure per proteggere i propri asset digitali.