Hackers norte-coreanos implantaram uma nova variante de malware chamada “Durian” para atacar empresas sul-coreanas de criptomoeda.
De acordo com um relatório de ameaças de 9 de maio da empresa de segurança cibernética Kaspersky, o grupo de hackers norte-coreano Kimsuky usou esse malware em ataques direcionados a pelo menos duas empresas de criptomoedas.
Os ataques foram conduzidos através da exploração de software de segurança legítimo usado exclusivamente por empresas de criptografia sul-coreanas. O malware Durian, anteriormente não divulgado, serve como instalador, implantando um fluxo constante de spyware, incluindo um backdoor chamado “AppleSeed”, uma ferramenta de proxy personalizada chamada LazyLoad e outros programas genuínos como o Chrome Remote Desktop.
“Durian possui funcionalidade backdoor abrangente, permitindo a execução de comandos entregues, downloads adicionais de arquivos e exfiltração de arquivos”, afirmou Kaspersky.
Além disso, a empresa de segurança cibernética descobriu que o LazyLoad também foi usado por Andariel, uma suborganização dentro do grupo Lazarus, consórcio de hackers norte-coreano, o que implica uma ligação “tênue” entre Kimsuky e a organização de hackers mais infame.
Tendo surgido pela primeira vez em 2009, o Lazarus se tornou um dos mais notórios grupos de hackers de criptomoedas.
Em 29 de abril, ZachXBT, um investigador independente de blockchain, relatou que o negócio Lazarus lavou com sucesso mais de US$ 200 milhões em criptomoedas ilícitas entre 2020 e 2023.
Em Maio, o Conselho de Segurança das Nações Unidas divulgou um relatório indicando o crescente envolvimento da Coreia do Norte em ataques cibernéticos, que representam agora quase metade dos seus ganhos em moeda estrangeira. Embora as investigações ainda estejam em andamento, o Grupo Lazarus é suspeito de roubar mais de US$ 3 bilhões em ativos de criptomoeda ao longo de seis anos, culminando em 2023.
Você também pode gostar: Hackers do Grupo Lazarus lançam novo método para ataques cibernéticos
Lazarus foi acusado de roubar mais de 17% — ou pouco mais de US$ 300 milhões — de todos os fundos roubados em 2023. De acordo com uma análise da Immunefi divulgada em 28 de dezembro, mais de US$ 1,8 bilhão em criptomoedas foram perdidos devido a ataques e explorações em 2023.
Foi relatado que o notório grupo Lazarus usa extensivamente misturadores de criptografia em suas operações para ocultar as origens dos fundos roubados. À medida que persistem as preocupações sobre a lavagem por meio de protocolos de privacidade, o Railgun, um protocolo popular, refutou as alegações de ser usado por hackers norte-coreanos ou por indivíduos sancionados.
As alegações vieram à tona após uma declaração do FBI de janeiro de 2023, sugerindo que o Grupo Lazarus da Coreia do Norte havia lavado mais de US$ 60 milhões em Ethereum por meio da Railgun após um ataque cibernético em junho de 2022.
Após as sanções dos EUA ao popular misturador de criptografia Tornado Cash, houve especulações de que o Railgun estava se tornando uma alternativa preferida para tais operações.
Leia mais: O Grupo Lazarus é a maior ameaça à criptografia neste mercado altista?