Ny Cyberattackkampanj av Nordkoreanska Hackare
Nordkoreanska hackare har inlett en ny cyberattackkampanj som riktar sig mot kryptovalutaföretag genom att använda en sofistikerad malware-sträng känd som NimDoor. Denna malware är utformad för att infiltrera Apple-enheter och kringgå inbyggda minnesskydd för att extrahera känslig information från kryptovaluta-plånböcker och webbläsare.
Angreppets Metod
Attacken inleds med social ingenjörskonst på plattformar som Telegram, där hackarna utger sig för att vara betrodda kontakter för att engagera offren i samtal. De bjuder sedan in målet till ett falskt Zoom-möte, förklädd som en Google Meet-session, och skickar en fil som imiterar en legitim Zoom-uppdatering. Denna fil fungerar som leveransmetod för den skadliga koden.
När den körs installerar malware-programmet NimDoor på offrets enhet, som sedan börjar samla in känslig information, med särskilt fokus på kryptovaluta-plånböcker och sparade webbläsaruppgifter.
Forskning och Upptäckter
Forskare vid cybersäkerhetsföretaget SentinelLabs har upptäckt denna nya taktik och noterat att användningen av programmeringsspråket Nim särskiljer denna malware. Nim-kompilerade binärer riktar sig sällan mot macOS, vilket gör malware-programmet mindre igenkännbart för konventionella säkerhetsverktyg och potentiellt svårare att analysera och upptäcka.
Forskarna observerade att nordkoreanska hotaktörer tidigare har experimenterat med programmeringsspråk som Go och Rust, men skiftet mot Nim återspeglar en strategisk fördel på grund av dess plattformsoberoende kapabiliteter. Detta gör att samma kodbas kan köras på Windows, Linux och macOS utan modifiering, vilket ökar effektiviteten och räckvidden för deras attacker.
Skadlig Kod och Funktioner
Den skadliga koden inkluderar en komponent för stöld av autentiseringsuppgifter som är utformad för att diskret samla in webbläsar- och systemdata, paketera informationen och överföra den till angriparna. Dessutom identifierade forskarna ett skript inom malware-programmet som riktar sig mot Telegram genom att extrahera både dess krypterade lokala databas och motsvarande dekrypteringsnycklar.
Noterbart är att malware-programmet använder en fördröjd aktiveringsmekanism, som väntar i tio minuter innan det utför sina operationer i ett uppenbart försök att undvika säkerhetsscanners.
