КНДР стала третьей в мире страной — держателем биткоинов после США и Великобритании, пишет газета Times со ссылкой на аналитиков Arkham Intelligence. В достижении этого статуса Пхеньяну помогла кибератака на криптовалютную биржу Bybit, закончившаяся крупнейшей в истории кражей на $1,4 млрд.

Источник изображения: Micha Brändli / unsplash.com

Хакерская группировка Lazarus, которая считается крупнейшей и наиболее успешной в КНДР, в настоящее время, по подсчётам аналитиков, располагает в общей сложности 13 580 биткоинами на сумму $1,152 млрд. Крупнейшей страной — держателем биткоинов считается США с капиталом на $16,5 млрд; второе место занимает Великобритания с активами на $5,07 млрд. Оба правительства утверждают, что изъяли эти активы у преступников.

Lazarus, также известная под названием TraderTraitor, может считаться самой успешной преступной группировкой в мире, — американские власти возложили на неё ответственность за кражу средств в криптовалюте Ethereum у Bybit. Хакеры, как считается, добились своего, используя фишинговые атаки по электронной почте, обманом заставив пользователей криптобиржи предоставить доступ к своим сетям. После этого злоумышленники произвели подмену показываемых пользователям экранных сообщений и создали у них впечатление, что они одобряют добросовестные транзакции. В действительности они давали согласие на перевод огромных сумм через несколько анонимных счетов с помощью децентрализованных бирж. Несмотря на попытки Bybit отменить транзакции, бо́льшая часть криптовалюты была переведена в другие криптовалюты, включая биткоин, и фиатные (традиционные) денежные средства.

За прошлый год хакеры из КНДР предположительно украли криптовалюту на $800,1 млн; всего же за этот срок в мире были похищены цифровые средства на $2,21 млрд. Северокорейские киберпреступники также считаются ответственными за крупную кражу из центробанка Бангладеш. До 40 % ядерной и баллистической программ Пхеньяна финансируются за счёт «незаконных киберсредств», подсчитали в прошлом году эксперты ООН.

За крупнейшей в истории кражей криптовалюты стояла хакерская группировка Lazarus Group, которой приписывается северокорейское происхождение. Об этом заявила специализирующаяся на блокчейн-разведке компания Arkham Intelligence со ссылкой на авторитетного анонимного криптодетектива ZachXBT. Накануне неизвестные похитили с криптовалютной биржи ByBit цифровые активы на общую сумму почти $1,5 млрд.

Источник изображения: appshunter.io / unsplash.com

Arkham предложила вознаграждение в размере 50 000 своих токенов ARKM тому, кто сможет идентифицировать осуществивших кражу злоумышленников; позже администрация платформы заявила, что ZachXBT представил «исчерпывающие доказательства» совершения преступления северокорейской хакерской группировкой. «В его пакет документов вошёл подробный анализ тестовых транзакций и связанных [с инцидентом] кошельков, использованных перед реализацией эксплойта, а также несколько криминалистических графиков и сводок временно́го анализа», — сообщили в Arkham.

«Первоначально украденные средства были переведены на основной кошелёк, который далее распределил их по более чем сорока [другим] кошелькам. Злоумышленники перевели все stETH, cmETH и mETH в ETH прежде чем начать систематический перевод ETH с шагом по $27 млн на более чем десять дополнительных кошельков», — рассказали об инциденте ресурсу CoinDesk в администрации платформы Nansen, которая занимается анализом блокчейна.

Хакеры произвели кражу средств, воспользовавшись механизмом «подписания вслепую» (Blind Signing), при котором транзакция в рамках смарт-контракта одобряется без полного знания его содержимого. «Этот вектор атаки быстро становится излюбленной формой кибератак, осуществляемых подготовленным преступниками, включая Северную Корею. Это тот же тип атаки, что использовался при взломе Radiant Capital [16 октября 2024 года, когда в результате атаки на протокол похитили $50 млн] и инциденте с WazirX [18 июля 2024 года с индийской криптобиржи украли около $239,4 млн] — пояснил Идо Бен Натан (Ido Ben Natan), генеральный директор компании Blockaid, которая занимается вопросами безопасности блокчейнов. — Проблема в том, что даже при использовании лучших решений для управления ключами защиты сегодня бо́льшая часть процесса подписания делегируется программным интерфейсам, взаимодействующим с [децентрализованными приложениями] dApps. Это создаёт критическую уязвимость — она открывает дверь к злонамеренным манипуляциям процесса подписания, что в этой атаке и произошло».

Хакеру удалось «взять под контроль конкретный холодный кошелёк ETH и перевести все ETH на этот неопознанный адрес», признался глава Bybit Бен Чжоу (Ben Zhou). Биржа останется «платёжеспособной, даже если эта потеря от взлома не будет возмещена», заверил он.

Хакерская группировка Lazarus, которую связывают с властями КНДР, провела крупномасштабную операцию Phantom Circuit — они скомпрометировали сотни систем по всему миру с целью кражи секретной информации. Для этого злоумышленники клонировали легитимное ПО с открытым кодом и внедряли в него бэкдоры в надежде, что разработчики и другие потенциальные жертвы, преимущественно работающие в криптовалютной отрасли, случайно воспользуются ими и сделают свои машины уязвимыми. Вредоносные проекты распространялись через крупные платформы, включая GitLab.

Источник изображения: AltumCode / unsplash.com

Схему обнаружили эксперты в области кибербезопасности из компании SecurityScorecard. В минувшем ноябре жертвами хакеров стали 181 разработчик преимущественно из европейского технологического сектора. В декабре их число выросло до 1225 человек, включая 284 из Индии и 21 из Бразилии. В январе к их числу добавились ещё 233 жертвы, в том числе 110 из технологического сектора Индии. Киберпреступникам удалось похитить учётные данные своих жертв, токены аутентификации, пароли и другую конфиденциальную информацию.

В число клонированных и изменённых хакерами репозиториев вошли такие проекты как Codementor, CoinProperty, Web3 E-Store, менеджер паролей на основе Python, а также другие приложения, связанные с криптовалютой и web3, рассказали в SecurityScorecard. Когда жертва неосознанно загружала и устанавливала такое приложение-форк, на его машину также устанавливался бэкдор, позволяющий злоумышленникам подключаться к ней, похищать конфиденциальные данные и отправлять их на свои ресурсы. Участвующие в схеме Phantom Circuit управляющие (C2) серверы Lazarus Group, как выяснилось, начали работу ещё в сентябре — они использовались для связи с заражёнными системами, доставки вредносного ПО и копирования украденных данных. Экспертам так и не удалось выяснить, «как обрабатывались извлечённые данные, и какая инфраструктура использовалась для управления этим серверами».

Эксперты обнаружили скрытую административную систему, размещённую на каждом сервере — она обеспечивала централизованное управление атакой; система была написана на основе React и Node.js. Чтобы скрыть происхождение кампании, хакеры Lazarus Group применяли многослойную обфускацию. Чтобы скрыть географическое происхождение, использовался VPN, а на прокси-уровне вредоносная активность смешивалась с безобидным сетевым трафиком. Серверы размещались в инфраструктуре Stark Industries — специалисты SecurityScorecard установили, что к ним подключались не менее чем с шести северокорейских адресов, один из которых ранее был связан с атаками Lazarus на платформу Codementor. Похищенные данные выгружались в облачное хранилище Dropbox.

Специалисты в области кибербезопасности обнаружили, что хакерская группировка Lazarus, предположительно связанная с правительством Северной Кореи, использовала уязвимость нулевого дня в Windows для установки сложного руткита FudModule. Уязвимость позволяет получать максимальные права в системе.

Источник изображения: anonymous_Pete-Linforth/Pixabay

Как сообщает издание Ars Technica со ссылкой на представителей компании Gen, уязвимость, получившая идентификатор CVE-2024-38193, относится к классу «use after free» и находится в драйвере AFD.sys, который используется для работы с протоколом Winsock и служит точкой входа в ядро операционной системы. Microsoft предупредила, что данная уязвимость может быть использована злоумышленниками для получения системных привилегий, позволяющих исполнять неподтверждённый код.

«Уязвимость позволяла злоумышленникам обходить стандартные механизмы безопасности и получать доступ к чувствительным областям системы, недоступным большинству пользователей и даже администраторам, — говорится в отчёте Gen. — Этот тип атаки является сложным и ресурсоёмким, а его стоимость на чёрном рынке может достигать нескольких сотен тысяч долларов». Напомним, руткит FudModule был впервые обнаружен в 2022 году. Он способен скрывать своё вредоносное присутствие в системе, обходя антивирусы и другие средства защиты.

Ранее хакеры из Lazarus использовали технику «Bring your own vulnerable driver» (Принеси свой уязвимый драйвер) для установки более ранних версий FudModule. Однако в этот раз они воспользовались ошибкой в системном драйвере appid.sys, который по умолчанию присутствовал до сегодняшнего дня во всех версиях Windows.

Компания Gen не раскрывает подробности относительно того, как долго хакеры эксплуатировали уязвимость CVE-2024-38193, сколько организаций пострадали от атак, и удалось ли антивирусным программам обнаружить последнюю версию FudModule.