Koreya Xalq Demokratik Respublikasının dövlət hakerləri bir neçə unikal zərərli proqram təminatı ilə, o cümlədən saxta Zoom görüşləri kimi bir neçə dələduzluq üsulu ilə kriptovalyuta şirkətlərini hədəf alır.
Koreya Xalq Demokratik Respublikası ilə əlaqəli UNC1069 adlı təhdid aktoru kriptovalyuta sektorunu Windows və macOS sistemlərindən həssas məlumatları oğurlamaq məqsədilə hədəf alır və əsas məqsədi maliyyə oğurluğunu asanlaşdırmaqdır.
UNC1069-nun 2018-ci ilin aprel ayından etibarən aktiv olduğu müəyyən edilib. Onun maliyyə qazancı üçün saxta görüş dəvətləri göndərmək və tanınmış şirkətlərdən investor kimi özünü təqdim etmək yolu ilə sosial mühəndislik kampaniyaları keçirmək təcrübəsi var.
Saxta Zoom zəngi kriptovalyuta şirkətinə zərərli proqram hücumu təşkil edir
Son hesabatında Google Mandiant tədqiqatçıları kriptovalyuta sənayesində fəaliyyət göstərən bir FinTech şirkətinə edilən müdaxiləni araşdırıblar. Tədqiqatçılara görə, müdaxilə kriptovalyuta sənayesində çalışan bir rəhbərə məxsus Telegram hesabının sındırılması ilə başlayıb.
Hücumçular oğurlanmış profildən istifadə edərək qurbanla əlaqə qurublar. Onlar tədricən etibar qazanıb, sonra video görüş üçün Calendly dəvəti göndəriblər. Görüş linki qurbanı təhdid aktorlarının nəzarətində olan infrastrukturda yerləşən saxta Zoom domeninə yönləndirib.
Zəng zamanı qurban başqa bir kriptovalyuta şirkətinin CEO-sunun dərin saxta (deepfake) videosunu gördüyünü bildirib.
“Mandiant bu xüsusi vəziyyətdə süni intellekt modellərindən istifadəni müstəqil şəkildə təsdiqləmək üçün forensik sübut əldə edə bilməsə də, bildirilən bu hiylə əvvəllər ictimaiyyətə məlum olmuş, oxşar xüsusiyyətlərə malik və dərin saxtakarlıqlardan istifadə edildiyi iddia edilən hadisə ilə oxşardır,” – deyə hesabatda qeyd olunub.
Hücum zənciri. Mənbə: Google Cloud Hücumçular görüşdə səs problemləri olduğu təəssüratı yaradaraq növbəti addımı əsaslandırıblar. Onlar qurbana cihazında diaqnostika komandaları işə salmağı tapşırıblar. Həm macOS, həm də Windows sistemləri üçün uyğunlaşdırılmış bu komandalar gizlicə infeksiya zəncirini işə salıb. Nəticədə bir neçə zərərli proqram komponenti aktivləşib.
Mandiant hücum zamanı istifadə olunan yeddi fərqli zərərli proqram növünü müəyyən edib. Alətlər əsas açarlar və parolları oğurlamaq, brauzer kukilərini və giriş məlumatlarını toplamaq, Telegram sessiya məlumatlarına çıxmaq və digər özəl faylları əldə etmək üçün hazırlanıb.
Tədqiqatçılar müəyyən edib ki, məqsəd ikili olub: mümkün kriptovalyuta oğurluğunu təmin etmək və gələcək sosial mühəndislik hücumlarını dəstəkləyəcək məlumatları toplamaq. Tədqiqat zamanı bir host üzərinə qeyri-adi dərəcədə çox sayda alətin yükləndiyi aşkarlanıb.
Süni intellektlə əlaqəli dələduzluq klasterləri daha yüksək əməliyyat səmərəliliyi göstərir
Hadisə daha geniş bir tendensiyanın tərkib hissəsidir. Koreya Xalq Demokratik Respublikası ilə əlaqəli aktorlar saxta Zoom və Microsoft Teams görüşlərində etibarlı sənaye nümayəndələri kimi çıxış edərək 300 milyon dollardan çox vəsait əldə ediblər.
İl ərzində fəaliyyətin miqyası daha da təsiredici olub. Cryptopolitan xəbər verir ki, 2025-ci ildə Koreya Xalq Demokratik Respublikası təhdid qrupları tərəfindən 2,02 milyard dollar dəyərində rəqəmsal aktiv oğurlanıb, bu isə əvvəlki illə müqayisədə 51% artım deməkdir.
Chainalysis həmçinin qeyd edib ki, süni intellekt xidməti təminatçıları ilə əlaqəli olan dələduzluq klasterləri, bu əlaqəsi olmayanlardan daha yüksək əməliyyat səmərəliliyi göstərir. Şirkətə görə, bu tendensiya gələcəkdə süni intellektin əksər dələduzluq əməliyyatlarının standart komponentinə çevriləcəyini göstərir.
Keçən ilin noyabrında dərc olunan hesabatda Google Threat Intelligence Group (GTIG) təhdid aktorunun Gemini kimi generativ süni intellekt (AI) alətlərindən istifadə etdiyini qeyd edib. Onlar sosial mühəndislik kampaniyalarını dəstəkləmək üçün tələyə salan materiallar və digər kripto-məzmunlu mesajlar hazırlamaq məqsədilə bu alətlərdən istifadə edirlər.
Ən azı 2023-cü ildən bəri qrup hədəflənmiş fishing texnikalarından və ənənəvi maliyyə (TradFi) sektorundan Web3 sənayesinə, məsələn, mərkəzləşdirilmiş birjalar (CEX), maliyyə institutlarında proqram təminatı tərtibatçıları, yüksək texnologiyalı şirkətlər və vençur kapital fondlarının əməkdaşlarına yönəlib.
Google.
Qrupun həmçinin Gemini-dən sui-istifadə edərək kripto aktivləri oğurlamaq üçün kodlar hazırlamağa cəhd etdiyi müşahidə olunub. Onlar həmçinin dərin saxta şəkillər və video tələlərdən istifadə edərək kriptovalyuta sənayesindəki şəxsləri təqlid edir və Zoom proqram təminatı inkişaf kit (SDK) kimi təqdim edərək BIGMACHO adlı arxa qapı zərərli proqramını qurbanlara yayırlar.
