Mga pagnanakaw ng crypto at phishing na iniugnay sa Hilagang Korea noong 2022

Naiugnay ang mga hacker na suportado ng Iran sa ransomware at pagmimina ng cryptocurrency, habang inakusahan ang Russia ng paggamit ng mga pribadong grupong nagsasagawa ng ransomware. Sa mga pagsusuri, natatangi ang Hilagang Korea dahil sentral na layunin ng mga opensibong operasyong pang-estado nito ang kumita sa cybercrime. Hindi nito ibig sabihing hindi kailanman gumamit ng ganitong krimen ang ibang estado.

Maraming sangay ang mga cyberoperation ng Hilagang Korea: pagnanakaw sa bangko, ransomware at pagnanakaw ng cryptocurrency mula sa mga online exchange.

Ang mga grupong kilala bilang Lazarus, Kimsuky at BeagleBoyz ay naiugnay sa mga cyberoperation ng Hilagang Korea. Pinapasok nila ang mga network ng militar, pamahalaan, negosyo at industriya ng depensa. Kabilang sa mga layunin ang pagnanakaw ng pera at pang-eespiya upang makakuha ng sensitibong impormasyong maaaring makatulong sa mga programa ng armas ng bansa.

Nililinlang ng mga umaatake ang mga tao upang magbigay ng access o sinasamantala ang mga kahinaan sa seguridad para mailipat ang pondo mula sa mga wallet na konektado sa internet patungo sa mga address na kontrolado nila. Naiugnay rin ang bansang pinatawan ng mga parusa sa money laundering gamit ang mga serbisyong naghahalo ng pondo mula sa maraming address upang itago ang pinagmulan nito.

Noong Pebrero 2021, inilabas ng Kagawaran ng Katarungan ng Estados Unidos ang sakdal laban sa tatlong programador mula sa Hilagang Korea. Inakusahan sila ng malawak na sabwatan na kinabibilangan ng mapanirang cyberattack, mga tangkang magnakaw at mangikil ng mahigit 1.3 bilyong dolyar na pera at cryptocurrency, mga mapaminsalang cryptoapp at mapanlinlang na pagbebenta ng isang blockchain platform. Ang sakdal ay hindi hatol at hindi patunay na matagumpay na nakuha ang buong halagang iyon.

Pagsapit ng huling bahagi ng 2022, ipinakita ng ilang pagsusuri ang lawak ng mga pagnanakaw ng crypto na iniugnay sa Hilagang Korea. Magkakaiba ang panahon at pamamaraan ng mga tantiya sa ibaba, kaya hindi dapat basta pagsama-samahin ang mga ito.

Tinatayang 1.2 bilyong dolyar na ninakaw mula 2017

Noong Disyembre 2022, iniulat ang tantiya ng National Intelligence Service (NIS) ng Timog Korea na 1.5 trilyong won, o humigit-kumulang 1.2 bilyong dolyar noon, ang ninakaw na cryptocurrency mula 2017. Mahigit kalahati ang iniugnay sa 2022. Humigit-kumulang 78 milyong dolyar ng kabuuang halaga ang iniugnay sa mga biktima sa Timog Korea.

Ayon sa iniulat na tantiya ng NIS, mahigit 800 bilyong won, o halos 620 milyong dolyar, ang ninakaw noong 2022. Sinabi ng tagapagsalita na ang bahaging ito ng mga pagnanakaw ay nangyari sa labas ng Timog Korea at binanggit ang mas mahigpit na seguridad at mga account na nakapangalan sa tunay na may-ari. Tumutukoy iyon sa naturang tala, hindi sa garantiyang hindi kailanman malulugi ang mga gumagamit sa Timog Korea.

Noong 2021, nagpatupad ang Timog Korea ng mas mahigpit na patakaran laban sa money laundering at para sa pagkilala sa customer, o KYC. Ang mga exchange na may kalakalan sa won ay kailangang may kasunduan sa bangko para sa pagdeposito at pag-withdraw gamit ang mga account na nakapangalan sa tunay na may-ari. Hindi ito pare-parehong rekisito para sa mga platform na puro crypto-to-crypto lamang.

Bahagi ng pagsusuri ng mga bangko at kaugnay na exchange ang pagpapatunay sa pagkakakilanlan ng customer. Kailangan ding mag-ulat at magparehistro ang mga provider sa Korea Financial Intelligence Unit sa ilalim ng FSC. Hindi ito pangkalahatang pag-apruba sa mga pamumuhunan o garantiya ng kaligtasan.

Naiugnay ang mga grupong may koneksiyon sa Hilagang Korea sa malalaking pagnanakaw ng crypto noong 2022, kabilang ang pag-atake sa Harmony na humigit-kumulang 100 milyong dolyar. Ayon sa mga analyst, nakatutulong ang mga operasyong ito sa pagkuha ng dayuhang salapi ng rehimeng nasa ilalim ng malalawak na pandaigdigang parusa.

Ayon sa NIS, may malakas na kakayahan ang Hilagang Korea sa pagnanakaw ng digital asset. Iniugnay nito ang pag-unlad sa mas malaking pagtutok sa cybercrime matapos higpitan ang mga parusa ng UN noong 2017 bilang tugon sa mga pagsubok ng armas nukleyar at missile.

Nagbabala ang NIS noong Disyembre 2022 na maaaring tumindi ang mga pag-atake sa 2023. Binigyang-diin nito ang pagsusuri sa mga pamamaraan ng pag-atake at ang pag-uugnay ng impormasyong tungkol sa mapaminsalang code mula sa iba’t ibang insidente. Pagtatasa ito ng panganib, hindi tiyak na hula.

Kabilang sa mga pamamaraan ang panlilinlang sa tao o social engineering, phishing at pagsasamantala sa mga kahinaan ng software. Ginagamit din ang mga ito ng ibang hacker na suportado ng estado at mga cybercriminal.

Pagsusubok ng mga Bagong Paraan ng Paghahatid ng Malware

Ang BlueNoroff, na iniuugnay sa Lazarus, ay gumagamit ng iba’t ibang malware at target na phishing laban sa mga negosyo upang magnakaw ng pondo. Magkaibang yugto ng operasyon ang pagnanakaw at ang kasunod na money laundering.

Ayon sa ulat ng Kaspersky noong 27 Disyembre 2022, pinupuntirya ng BlueNoroff ang mga venture capital firm, negosyong crypto at bangko. Inilarawan ng mga mananaliksik ang panibagong aktibidad matapos ang panahong mas kakaunti ang kanilang naobserbahan.

Natukoy ng Kaspersky ang mahigit 70 domain na ginamit ng grupo. Maraming pekeng domain ang gumagaya sa mga venture capital firm at bangko, lalo na sa mga kumpanyang Hapones, at mayroon ding gumagaya sa mga kumpanya sa Estados Unidos at Vietnam.

Sinubukan ng grupo ang mga bagong uri ng file at paraan ng paghahatid ng malware. Kabilang dito ang mga disk image na maaaring makaiwas sa mga babala ng Windows Mark-of-the-Web sa ilang partikular na sunod-sunod na hakbang ng pag-atake. Inilarawan din sa naunang pagsusuri ng Kaspersky ang pagbabago sa address ng tatanggap at halaga ng transaksiyon. Hindi ito nangangahulugang awtomatikong kayang ubusin ang anumang account.

Nagbabala ang mananaliksik na si Seongsu Park ng Kaspersky tungkol sa panganib ng malulubhang cyberincident sa susunod na taon at hinikayat ang mga negosyo na palakasin ang paghahanda. Pagtatasa itong ginawa sa huling bahagi ng 2022, hindi isang napatunayang pangyayari sa hinaharap.

Naiugnay ang mga aktor na konektado sa BlueNoroff sa mga pag-atake sa maliliit at katamtamang laki ng negosyo sa iba’t ibang bansa. Target din ang mga gumagamit ng NFT sa mga kampanyang iniugnay ng mga mananaliksik sa mga aktor mula sa Hilagang Korea.

Mga Pagnanakaw ng NFT sa Pamamagitan ng Phishing

Ang blockchain security firm na SlowMist ay naglabas noong Disyembre 2022 ng pagsusuri sa malawakang phishing laban sa mga gumagamit ng NFT na iniugnay nito sa mga aktor na konektado sa Hilagang Korea.

Inilarawan ng SlowMist ang mga pekeng website na nang-aakit sa mga gumagamit na mag-mint ng NFT. Maaaring magbigay ng access sa mga asset ang mapaminsalang pag-apruba. Binanggit din ang pagbebenta ng mga NFT sa OpenSea, Rarible at X2Y2; hindi nito pinatutunayang nakompromiso ang mismong mga marketplace.

Naglabas ang mga awtoridad ng Estados Unidos noong Abril 2022 ng babala tungkol sa aktibidad na tinawag na TraderTraitor at sa mga pag-atakeng naobserbahan mula pa noong hindi bababa sa 2020. Hiwalay na inilarawan ng SlowMist ang isang pagsusuri sa NFT phishing na may halos 500 domain. Hindi patunay ang bilang na iyon na lahat ay sakop ng iisang pormal na grupo.

Kabilang sa mga katangiang nakita ng SlowMist ang pagrekord ng datos ng bisita at pagpapadala nito sa panlabas na site, paghiling ng listahan ng presyo ng NFT at ang file na imgSrc.js na nag-uugnay sa mga larawang ginagamit upang gayahin ang target na proyekto.

Binanggit din sa pagsusuri ang mga token na WETH, USDC, DAI at UNI. Sinikap ng mga umaatake na makakuha ng kontrol sa mga asset sa pamamagitan ng mapanlinlang na pakikipag-ugnayan.

Ang malaking pag-atake sa Ronin

Noong Marso 2022, ninakaw ang cryptocurrency na nagkakahalaga ng mahigit 600 milyong dolyar mula sa Ronin bridge na ginagamit ng NFT game na Axie Infinity. Kalaunan ay iniugnay ng mga awtoridad ng Estados Unidos ang pag-atake sa Lazarus. Itinuring ito ng Chainalysis noon na isa sa pinakamalalaking kilalang pagnanakaw ng crypto.

Binuo ang Axie Infinity ng isang studio ng laro sa Vietnam at umabot sa mahigit isang milyon ang aktibong manlalaro nito sa isang panahon. Kabilang sa ninakaw sa Ronin ang ETH at USDC na madalas tantiyahing humigit-kumulang 620 milyong dolyar sa kabuuan; hindi puro ether ang halagang iyon.

Noong Setyembre 2022, sinabi ng Chainalysis na humigit-kumulang 30 milyong dolyar ng ninakaw na pondo ang nasamsam sa pakikipagtulungan sa mga awtoridad. Nasundan ang mga paglilipat sa mga desentralisadong exchange at mixer na naghahalo ng cryptocurrency ng maraming gumagamit upang itago ang bakas nito.

Pinatawan ng Estados Unidos ng mga parusa ang Tornado Cash noong 2022. Sinabi noon ng Kagawaran ng Pananalapi na ginamit ang serbisyo upang maglaunder ng mahigit 450 milyong dolyar mula sa mga pagnanakaw na may kaugnayan sa Lazarus. Inilalarawan nito ang kalagayan ng mga parusa noong 2022.

Target din ang mga negosyong namumuhunan sa crypto

Inilarawan ng Microsoft (MSFT ) noong 6 Disyembre 2022 ang isang aktor na pansamantalang tinawag na DEV-0139, na umaatake sa mga negosyong namumuhunan sa crypto. Nagpapanggap itong investment company sa Telegram at nagpapadala ng Excel file na may mapaminsalang code na maaaring magbigay ng malayuang access sa sistema ng biktima.

Inilarawan ng Microsoft ang isang handang-handa na aktor na gumagamit ng mga pekeng profile batay sa impormasyon ng mga empleyado ng OKX. Sumasali ito sa mga Telegram group na nag-uugnay sa mga VIP customer at crypto exchange.

Ayon sa Microsoft, bumubuo muna ng tiwala ang aktor bago subukang maglagay ng mapaminsalang code. Nakatutulong ang kaalaman sa industriya at masusing paghahanda upang magmukhang kapani-paniwala ang pakikipag-ugnayan.

Sa isang pag-atake noong Oktubre 2022, inanyayahan ang mga empleyado sa Telegram group at hiningan ng opinyon tungkol sa Excel file na naghahambing ng VIP fee sa Huobi, Binance at OKX. Huobi ang pangalan noon, hindi ang kalaunang HTX. Mukhang makatotohanan ang datos, ngunit may mapaminsalang macro ang file at bahagi ito ng operasyong gumagamit ng DLL upang maglagay ng backdoor. Hinikayat ang target na buksan ang file sa pag-uusap.

Nakakita rin ang Microsoft ng kaugnay na operasyon gamit ang MSI installer at tinukoy ang pananaliksik ng Volexity tungkol sa AppleJeus at mga pag-atakeng konektado sa Lazarus. Teknikal na pagtatasa ang ugnayan; hindi awtomatikong pinal na pagkakakilanlan ng lahat ng sangkot ang pansamantalang pangalang DEV-0139.

Noong 2021, idinokumento ng Cybersecurity and Infrastructure Security Agency (CISA) ng Estados Unidos ang AppleJeus, isang pamilya ng mapaminsalang cryptoapp.

Patuloy na Pagtaas ng mga Pag-atake sa Crypto

Sa pagsusuri nito sa 2021, inilarawan ng Chainalysis ang pagtaas ng mga pagnanakaw ng crypto na konektado sa Hilagang Korea. Makasaysayang mga tantiya ang mga bilang, hindi kabuuang tala para sa 2022.

Ayon sa Chainalysis, naiugnay ang mga aktor na konektado sa Hilagang Korea sa hindi bababa sa pitong pag-atake sa mga cryptoplatform noong 2021, na nakakuha ng halos 400 milyong dolyar. Mas mababa ang tantiya para sa 2020, na madalas bilugin sa humigit-kumulang 300 milyong dolyar.

Ayon sa ulat, tumaas mula apat tungo sa pito ang bilang ng mga pag-atake at humigit-kumulang 40% ang itinaas ng halagang ninakaw. Nakabatay ang porsiyento sa mas detalyadong datos ng ulat at hindi eksaktong makukuha mula sa mga binilog na halagang dolyar.

Kapag nakontrol na ng mga umaatake ang pondo, nagsisimula sila ng maingat na money laundering upang maipalit ito nang hindi natutuklasan, ayon sa ulat.

Hindi inilathala ng Chainalysis ang pangalan ng lahat ng biktima, ngunit karamihan ay mga investment firm at sentralisadong exchange. Halimbawa, inanunsyo ng Liquid.com noong Agosto 2021 na may hindi awtorisadong nakapasok sa ilang wallet na pinamamahalaan nito.

Ayon sa Chainalysis, gumamit ang mga umaatake ng phishing, malware, pagsasamantala sa kahinaan ng code at masusing panlilinlang upang mailipat ang pondo mula sa mga wallet na konektado sa internet patungo sa mga address na kontrolado nila.

Natukoy rin ng mga analyst ang humigit-kumulang 170 milyong dolyar na cryptocurrency na hindi pa naipapasok sa money laundering mula sa 49 pag-atake noong 2017–2021. Ipinakahulugan nila ito bilang palatandaan ng maingat at matiising pagpaplanong maipalit ang pondo, hindi padalus-dalos na pagkilos.

Pangwakas na Tala

Sa huling bahagi ng 2022, inaasahang patuloy na pagsasamantalahan ng mga aktor na konektado sa Hilagang Korea ang mga kahinaan ng negosyong crypto, studio ng laro at exchange upang makakuha at maglaunder ng pondo para sa rehimen.

Iniugnay ng mga awtoridad ang mga aktibidad na ito sa pagpopondo ng mga programa ng armas ng Hilagang Korea. Ipinakita ng banta ang pangangailangan ng matibay na cybersecurity sa mga negosyong maaaring targetin ng mga aktor na suportado ng estado.

Itinanggi ng Hilagang Korea na sangkot ito sa mga pag-atake, habang naglahad ang mga awtoridad at mananaliksik ng mga bakas at pagtatasa na tumutukoy sa mga operasyong suportado ng estado. Dapat maging mapagbantay ang mga negosyo at indibidwal sa phishing at pangalagaan ang access sa kanilang mga digital asset.