有报道称，与北韩的拉扎鲁斯集团有关的恶意行为者执行了一次复杂的网络攻击，利用一个虚假的基于NFT的游戏来利用谷歌Chrome的零日漏洞。
根据报告，该漏洞最终允许攻击者访问人们的加密钱包。
利用Chrome的零日漏洞
卡巴斯基实验室的安全分析师鲍里斯·拉林和瓦西里·别尔德尼科夫写道，攻击者克隆了一个名为DeTankZone的区块链游戏，并将其宣传为具有赚取能力（P2E）元素的多人在线战斗竞技场（MOBA）。
专家表示，他们随后在游戏网站detankzone[.]com中嵌入了恶意代码，感染了与之互动的设备，即使没有任何下载。
该脚本利用了Chrome的V8 JavaScript引擎中的一个关键漏洞，使其能够绕过沙盒保护，从而启用远程代码执行。这个漏洞使得疑似北韩的行为者能够安装一种名为Manuscrypt的高级恶意软件，使他们控制了受害者的系统。
卡巴斯基在发现漏洞后向谷歌报告了此问题。几天后，科技巨头针对该问题进行了安全升级。然而，黑客们已经利用了这一漏洞，暗示对全球用户和企业的更广泛影响。
拉林和他的卡巴斯基安全团队发现有趣的是，攻击者采用了广泛的社会工程战术。他们通过吸引知名加密影响者来分发AI生成的营销材料，在X和领英上推广这个被污染的游戏。
复杂的设置还包括专业制作的网站和高级领英账户，这帮助创建了一种合法性的幻觉，吸引了毫无防备的玩家参与游戏。
拉扎鲁斯集团的加密追求
令人惊讶的是，这个NFT游戏不仅仅是一个壳；它是完全功能性的，具有游戏元素，如徽标、抬头显示和3D模型。
然而，任何访问该P2E标题的恶意软件网站的人都将敏感信息，包括钱包凭据，收集起来，使拉扎鲁斯能够执行大规模的加密盗窃。
多年来，这个团伙表现出对加密货币的持续兴趣。在4月，链上调查员ZachXBT将他们与2020年至2023年之间超过25起加密黑客攻击联系在一起，获利超过2亿美元。
此外，美国财政部将拉扎鲁斯与2022年臭名昭著的罗宁桥黑客攻击联系在一起，报告称他们盗取了超过6亿美元的以太币（ETH）和美元硬币（USDC）。
2023年9月，21Shares母公司21.co收集的数据揭示，这个犯罪团伙持有超过4700万美元的各种加密货币，包括比特币（BTC）、币安币（BNB）、雪崩（AVAX）和多边形（MATIC）。
据说，他们在2017年至2023年间盗取了价值超过30亿美元的数字资产。
报告称，北韩黑客利用虚假的NFT游戏窃取钱包凭据，首次出现在CryptoPotato上。
