Gli hacker nordcoreani prendono di mira gli sviluppatori Cripto con società fittizie statunitensi

Hacker nordcoreani che si spacciavano per imprenditori tecnologici americani hanno registrato silenziosamente delle aziende a New York e nel New Mexico nell'ambito di una campagna per compromettere gli sviluppatori del settore Cripto , ha affermato giovedì la società di sicurezza Silent Push.

Due aziende, Blocknovas e Softglide, sono state create utilizzando identità e indirizzi fittizi. L'operazione è legata a un sottogruppo del Gruppo Lazarus.

Negli ultimi anni, l'unità di hackeraggio sostenuta dalla Corea del Nord ha rubato miliardi di Cripto utilizzando tecniche e strategie sofisticate che prendono di mira individui o aziende ignare.

"Si tratta di un RARE esempio di come degli hacker nordcoreani siano riusciti a creare delle entità aziendali legali negli Stati Uniti per creare facciate aziendali da utilizzare per attaccare ignari candidati al lavoro", ha affermato Kasey Best, direttore dell'intelligence sulle minacce presso Silent Push.

La strategia degli hacker è tanto manipolativa quanto efficace: utilizzano falsi profili in stile LinkedIn e annunci di lavoro per convincere gli sviluppatori Cripto a partecipare ai colloqui. Poi, durante il processo di selezione, vengono indotti a scaricare malware camuffati da strumenti per la candidatura.

Silent Push ha identificato diverse vittime dell'operazione, in particolare quelle contattate tramite Blocknovas, che secondo i ricercatori era la più attiva delle tre società di facciata. L'indirizzo registrato dell'azienda in South Carolina sembra essere un lotto vuoto, mentre Softglide è stata registrata tramite un ufficio delle imposte di Buffalo, New York.

L'azienda ha aggiunto che il malware utilizzato nella campagna include almeno tre ceppi di virus precedentemente associati a unità informatiche nordcoreane. Questi programmi possono rubare dati, fornire accesso remoto a sistemi infetti e fungere da punti di ingresso per ulteriori spyware o ransomware.

L'FBI ha sequestrato il dominio Blocknovas, secondo quanto riportato da Reuters. Un avviso pubblicato sul sito afferma che è stato rimosso "nell'ambito di un'azione di contrasto contro i cybercriminali nordcoreani che hanno utilizzato questo dominio per ingannare le persone con falsi annunci di lavoro e distribuire malware".