Північнокорейські хакери шлють шпигунське ПЗ під виглядом тестових завдань для програмістів

Компанія Eset виявила поширення шпигунського шкідливого програмного забезпечення під виглядом фальшивих вакансій. Шкідлива активність націлена на розробників-фрілансерів з метою викрадення даних криптовалютних гаманців, а також облікової інформації з браузерів та менеджерів паролів.

Зокрема кіберзлочинці, видаючи себе за рекрутерів з приймання на роботу в ІТ-компанії, надсилали кандидатам файли зі шпигунським ПЗ під виглядом тестових проєктів. Для цього зловмисники використовували такі платформи, як LinkedIn, Upwork, Freelancer.com, We Work Remotely, Moonlight та Crypto Jobs List. При цьому необхідні для виконання завдання файли зазвичай розміщуються в приватних сховищах на GitHub або інших подібних платформах. Однак ці файли насправді є троянами: після завантаження та виконання проєкту, комп’ютер жертви стає скомпрометованим.

Діяльність зловмисників не має географічних закономірностей у виборі жертв, натомість вони прагнуть скомпрометувати якомога більше пристроїв, щоб збільшити ймовірність успішного викрадення коштів та інформації.

Ця діяльність, яку дослідники Eset назвали DeceptiveDevelopment, пов’язана з Північною Кореєю, однак її не можна пов’язати з жодною відомою загрозою. DeceptiveDevelopment націлена переважно на розробників програмного забезпечення для Windows, Linux та macOS. Зловмисники займаються викраденням криптовалюти в першу чергу заради фінансової вигоди, а також з можливою вторинною метою кібершпигунства.

Зловмисники DeceptiveDevelopment переважно використовують два сімейства шкідливих програм як частину своєї діяльності та застосовують їх у два етапи. На першому етапі використовується BeaverTail, який працює як простий викрадач логінів та отримує бази даних браузера, що містять збережені облікові дані. Для другого етапу використовується завантажувач InvisibleFerret, який включає шпигунське програмне забезпечення та компоненти бекдору, а також здатний завантажувати легітимне програмне забезпечення AnyDesk для віддаленого управління й моніторингу для дій після компрометації пристрою.

Kingston повертається у «вищу лігу» серверних NVMe SSD