Tech

deBridge označuje pokus o phishingový útok, podezřívá Lazarus Group

08/08/2022
Zprávy o bitcoinovém ethereu

Cross-chain protokoly a Web3 firmy jsou i nadále terčem hackerských skupin, protože deBridge Finance rozbaluje neúspěšný útok, který nese znaky hackerů ze severokorejské Lazarus Group.

Zaměstnanci společnosti deBridge Finance obdrželi v pátek odpoledne něco, co vypadalo jako další obyčejný e-mail od spoluzakladatele Alexe Smirnova. Příloha označená jako „Nové úpravy platů“ vzbudila zájem u různých kryptoměnových firem. zavedení propouštění zaměstnanců a snižování platů během probíhající kryptoměnové zimy.

Obraz

Hrstka zaměstnanců označila e-mail a jeho přílohu za podezřelé, ale jeden zaměstnanec vzal návnadu a stáhl soubor PDF. To by se ukázalo jako náhoda, protože tým deBridge pracoval na rozbalení útočného vektoru odeslaného z falešné e-mailové adresy navržené tak, aby zrcadlila Smirnovovu.

Spoluzakladatel se ponořil do složitosti pokusu o phishingový útok v dlouhém vláknu Twitteru zveřejněném v pátek, které fungovalo jako veřejné oznámení pro širší komunitu kryptoměn a Web3:

Smirnovův tým poznamenal, že útok neinfikuje uživatele macOS, protože pokusy o otevření odkazu na Macu vedou k archivu zip s normálním souborem PDF Adjustments.pdf. Systémy založené na Windows jsou však ohroženy, jak vysvětlil Smirnov:

„Vektor útoku je následující: uživatel otevře odkaz z e-mailu, stáhne a otevře archiv, pokusí se otevřít PDF, ale PDF požaduje heslo. Uživatel otevře password.txt.lnk a infikuje celý systém.“

Textový soubor způsobí škodu a spustí příkaz cmd.exe, který zkontroluje, zda v systému není antivirový software. Pokud systém není chráněn, škodlivý soubor se uloží do složky automatického spuštění a začne komunikovat s útočníkem, aby obdržel pokyny.

Příbuzný: 'Nikdo je nezdržuje“ – hrozba severokorejského kybernetického útoku stoupá

Tým deBridge umožnil skriptu přijímat instrukce, ale zrušil schopnost provádět jakékoli příkazy. To odhalilo, že kód shromažďuje řadu informací o systému a exportuje je útočníkům. Za normálních okolností by hackeři byli schopni spustit kód na infikovaném počítači od tohoto okamžiku.

Smirnov spojené zpět k dřívějšímu výzkumu phishingových útoků prováděných skupinou Lazarus Group, která používala stejné názvy souborů:

2022 viděl a nárůst hacků napříč mosty jak zdůraznila společnost Chainalysis zabývající se analýzou blockchainu. Kryptoměna v hodnotě přes 2 miliardy dolarů byla letos ukradena při 13 různých útocích, což představuje téměř 70 % ukradených finančních prostředků. Roninův most Axie Infinity byl zatím nejhorší zásah, v březnu 612 přišla hackerům o 2022 milionů dolarů.