Paradigm: Раскрытие тайны угрозы северокорейской хакерской группировки Lazarus Group

Автор: samczsun, исследовательский партнер Paradigm

Перевод: Bright, Foresight News

Одним февральским утром загорелся индикатор в группе SEAL 911, и мы с недоумением наблюдали, как Bybit выводили токены на сумму более 1 миллиарда долларов со своих холодных кошельков на совершенно новый адрес, а затем быстро начали ликвидировать LST на сумму более 200 миллионов долларов. В течение нескольких минут мы подтвердили от команды Bybit и независимого анализа (мультиподпись, ранее использовалась публично проверенная реализация Safe Wallet, теперь используется новый развернутый непроверенный контракт), что это на самом деле не было плановым обслуживанием. Кто-то совершил крупнейший взлом в истории криптовалют, и мы сидели в первом ряду этой исторической драмы.

В то время как часть команды (и более широкое сообщество расследователей) начала отслеживать средства и отправлять уведомления сотрудничающим биржам, другие члены команды пытались понять, что именно произошло и находятся ли другие средства под угрозой. К счастью, идентифицировать виновника было легко. За последние несколько лет только один известный злоумышленник успешно похитил миллиарды долларов у криптовалютных бирж: Северная Корея, также известная как КНДР (DPRK).

Однако, помимо этого, у нас почти не было других улик. Из-за хитрости северокорейских хакеров и их высокого мастерства в сокрытии следов, трудно было не только определить первопричину взлома, но и даже узнать, какая именно команда внутри Северной Кореи несет за это ответственность. Единственное, на что мы могли опереться, — это существующая разведывательная информация, указывающая на то, что Северная Корея действительно предпочитает взламывать криптовалютные биржи с помощью социальной инженерии. Поэтому мы предположили, что Северная Корея, вероятно, скомпрометировала держателей мультиподписи Bybit, а затем развернула некоторое вредоносное ПО для вмешательства в процесс подписания.

Как оказалось, это предположение было полным абсурдом. Через несколько дней мы обнаружили, что Северная Корея на самом деле скомпрометировала инфраструктуру самого Safe Wallet и развернула вредоносное наложение, специально нацеленное на Bybit. Такая сложность не была учтена или подготовлена никем, и это представляет серьезную проблему для многих моделей безопасности на рынке.

Северокорейские хакеры представляют растущую угрозу для нашей индустрии, и мы не можем победить врага, которого не знаем или не понимаем. Существует множество задокументированных инцидентов и статей о различных аспектах киберопераций Северной Кореи, но их трудно собрать воедино. Я надеюсь, что этот обзор даст людям более полное представление о том, как работает Северная Корея, а также об их тактиках и процедурах, что облегчит внедрение правильных мер по смягчению последствий.

Организационная структура

Возможно, наибольшее заблуждение, которое необходимо устранить, — это то, как классифицировать и называть многочисленные киберактивности Северной Кореи. Хотя в разговорной речи допустимо использовать термин «Группа Lazarus» для обобщения, при детальном обсуждении системных киберугроз Северной Кореи полезно использовать более строгие формулировки.

Во-первых, полезно понять «организационную схему» Северной Кореи. На вершине находится правящая партия Северной Кореи (и единственная правящая партия) —— Трудовая партия Кореи (WPK), которой подчиняются все правительственные учреждения Северной Кореи. Сюда входят Корейская народная армия (KPA) и Центральный комитет. Внутри народной армии находится Генеральный штаб (GSD), где базируется Главное управление разведки (RGB). Под Центральным комитетом находится Отдел военной промышленности (MID).

RGB отвечает почти за все кибервойны Северной Кореи, включая почти всю деятельность Северной Кореи, наблюдаемую в криптовалютной индустрии. Помимо печально известной Группы Lazarus, другими субъектами угроз, исходящими из RGB, являются AppleJeus, APT38, DangerousPassword и TraderTraitor. С другой стороны, MID отвечает за программу ядерных ракет Северной Кореи и является основным источником IT-работников Северной Кореи, которых разведывательное сообщество называет Contagious Interview и Wagemole.

Группа Lazarus (Lazarus Group)

Группа Lazarus (Lazarus Group) — это высоко сложная хакерская организация, и эксперты по кибербезопасности считают, что некоторые из крупнейших и наиболее разрушительных хакерских атак в истории были совершены именно этой группой. В 2016 году Novetta впервые обнаружила Группу Lazarus при анализе инцидента с взломом Sony Pictures Entertainment (Sony).

В 2014 году Sony производила动作喜剧片《Убийство Ким Чен Ына》, основным сюжетным моментом которого было унижение Ким Чен Ына и последующее покушение. Понятно, что это не было воспринято режимом Северной Кореи, который отомтил, взломав сеть Sony, украв несколько ТБ данных, опубликовав сотни ГБ конфиденциальной или другой чувствительной информации и удалив оригиналы. Как тогдашний генеральный директор Майкл·Линтон сказал: «Люди, сделавшие это, не просто украли все из дома, они еще и сожгли дом». В конечном итоге расследование и устранение последствий этой атаки обошлись Sony как минимум в 15 миллионов долларов, а убытки могли быть еще больше.

Затем, в 2016 году, хакеры, очень похожие на Группу Lazarus, взломали Банк Бангладеш, намереваясь похитить почти 1 миллиард долларов. В течение года хакеры проводили атаки социальной инженерии на сотрудников Банка Бангладеш, в конечном итоге получив удаленный доступ и перемещаясь внутри сети банка, пока не достигли компьютеров, отвечающих за взаимодействие с сетью SWIFT. С этого момента они ждали отличной возможности для атаки: Банк Бангладеш отдыхал в выходные в четверг, но Федеральный резервный банк Нью-Йорка отдыхал в выходные в пятницу. Вечером четверга по местному времени в Бангладеш субъекты угроз использовали свой доступ к сети SWIFT для отправки 36 отдельных запросов на перевод в Федеральный резервный банк Нью-Йорка, где было утро четверга по местному времени. В течение следующих 24 часов Федеральный резервный банк Нью-Йорка переслал эти переводы в Коммерческий банк Rizal (RCBC) на Филиппинах, который начал действовать. Затем, когда Банк Бангладеш снова открылся, был обнаружен взлом, и они попытались уведомить Коммерческий банк Rizal остановить ongoing транзакции, но обнаружили, что Коммерческий банк Rizal был закрыт из-за празднования Лунного Нового года.

Наконец, в 2017 году массовая атака программ-вымогателей WannaCry 2.0 опустошила индустрии по всему миру, и частично это было приписано Группе Lazarus. По оценкам, WannaCry нанесла убытки на миллиарды долларов, она использовала 0day уязвимость Microsoft Windows, первоначально разработанную АНБ (NSA), которая не только шифровала локальные устройства, но и распространялась на другие доступные устройства, в конечном итоге заразив сотни тысяч устройств по всему миру. К счастью, благодаря тому, что исследователь безопасности Маркус Хатчинс обнаружил и активировал kill switch в течение восьми часов, окончательный ущерб был ограничен.

Рассматривая историю развития Группы Lazarus, они продемонстрировали чрезвычайно высокие технические способности и исполнительность, и одной из их целей было генерирование дохода для режима Северной Кореи. Поэтому было лишь вопросом времени, когда они обратят свое внимание на криптовалютную индустрию.

Производные группы

Со временем, поскольку Группа Lazarus стала общим термином, который СМИ любят использовать для описания киберактивностей Северной Кореи, индустрия кибербезопасности создала более точные названия для конкретных активностей Группы Lazarus и Северной Кореи. Примером является APT38, которая отделилась от Группы Lazarus около 2016 года и сосредоточилась на финансовых преступлениях, сначала нацеливаясь на банки (например, Банк Бангладеш), а затем на криптовалюты. Позже, в 2018 году, была обнаружена новая угроза под названием AppleJeus, распространяющая вредоносное ПО против пользователей криптовалют. Наконец, еще в 2018 году, когда OFAC впервые объявила санкции против двух фирм-прикрытий, используемых северокорейцами, северокорейцы, выдававшие себя за IT-работников, уже проникли в технологическую индустрию.

Северокорейские IT-работники

Несмотря на то, что самые ранние записи, упоминающие северокорейских IT-работников, относятся к санкциям OFAC 2018 года, отчет Unit 42 за 2023 год предоставил более подробную информацию и определил двух различных субъектов угроз: Contagious Interview и Wagemole.

Известно, что Contagious Interview выдает себя за рекрутеров известных компаний, заманивая разработчиков участвовать в фальшивом процессе собеседования. Затем потенциальным кандидатам предлагается клонировать репозиторий для локальной отладки, якобы как часть задания по кодированию, но на самом деле этот репозиторий содержит бэкдор, выполнение которого передаст контроль над зараженной машиной攻击者. Эта активность продолжается, последняя запись была зафиксирована 11 августа 2024 года.

С другой стороны, агенты Wagemole нацелены не на найм потенциальных жертв, а на то, чтобы быть нанятыми компаниями, где они просто работают как обычные инженеры, хотя, возможно, не очень эффективно. Тем не менее, зафиксированы случаи, когда IT-работники использовали свой доступ для атак, например, в инциденте с Munchables, сотрудник, связанный с активностью Северной Кореи, использовал свой привилегированный доступ к смарт-контрактам для кражи всех активов.

Уровень сложности агентов Wagemole варьируется от шаблонных резюме и нежелания участвовать в видеозвонках до高度 кастомизированных резюме, дипфейков на видео-собеседованиях и документов, удостоверяющих личность, таких как водительские права и счета за коммунальные услуги. В некоторых случаях агенты скрывались внутри受害 организации до года, а затем использовали свой доступ для взлома других систем и / или полной обналички.

Эпл Джеус (AppleJeus)

AppleJeus в основном сосредоточена на распространении вредоносного ПО и擅长 проводить сложные атаки на цепочку поставок. В 2023 году атака на цепочку поставок 3CX позволила攻击者 заразить более 12 миллионов пользователей VoIP-программного обеспечения 3CX, но позже было обнаружено, что сама 3CX также подверглась атаке на цепочку поставок, затронувшей одного из ее upstream поставщиков, Trading Technologies 13.

В криптовалютной индустрии AppleJeus изначально распространяла вредоносное ПО, упакованное в легальное программное обеспечение (например, торговое ПО или криптовалютные кошельки). Однако со временем их тактика изменилась. В октябре 2024 года Radiant Capital был скомпрометирован вредоносным ПО, отправленным через Telegram субъектом угроз, выдававшим себя за доверенного подрядчика, что Mandiant приписала AppleJeus.

Опасный пароль (Dangerous Password)

Dangerous Password отвечает за атаки низкой сложности на основе социальной инженерии против криптовалютной индустрии. Еще в 2019 году JPCERT/CC задокументировала, что Dangerous Password рассылала фишинговые письма с заманчивыми вложениями для загрузки пользователями. В предыдущие годы Dangerous Password отвечала за рассылку фишинговых писем от имени известных фигур индустрии на тему «Стабильные койны и криптоактивы несут огромные риски».

Сегодня Dangerous Password все еще рассылает фишинговые письма, но также расширила свою деятельность на другие платформы. Например, Radiant Capital сообщила, что они получили фишинговое сообщение через Telegram от человека, выдававшего себя за исследователя безопасности, который распространял файл под названием «Penpie_Hacking_Analysis_Report.zip». Кроме того, пользователи сообщали, что с ними связывались люди, выдававшие себя за журналистов и инвесторов, с просьбой запланировать звонок с использованием неприметного приложения для видеоконференций. Как и Zoom, эти приложения загружают одноразовые установщики, но при запуске устанавливают вредоносное ПО на устройство.

Предатель-трейдер (TraderTraitor)

TraderTraitor — самый опытный северокорейский хакер, нацеленный на криптовалютную индустрию, и осуществил взломы таких компаний, как Axie Infinity и Rain.com. TraderTraitor почти исключительно нацеливается на биржи и другие компании с большими резервами и не развертывает 0day уязвимости против своих целей, вместо этого используя高度 сложные техники целевого фишинга для атаки на жертв. В случае взлома Axie Infinity TraderTraitor связался с старшим инженером через LinkedIn и успешно убедил его пройти серию собеседований, а затем отправил «предложение»,从而 доставив вредоносное ПО. Затем, во время взлома WazirX, агенты TraderTraitor скомпрометировали неопределенный компонент в конвейере подписания, а затем истощили горячий кошелек биржи путем многократных депозитов и выводов, заставив инженеров WazirX进行 ребалансировку от холодного кошелька к горячему. Когда инженеры WazirX попытались подписать транзакцию для перевода средств, их обманом заставили подписать транзакцию, передающую контроль над холодным кошельком TraderTraitor. Это очень похоже на атаку на Bybit в феврале 2025 года, когда TraderTraitor сначала скомпрометировал инфраструктуру Safe{Wallet} через социальную инженерию, а затем развернул вредоносный JavaScript во фронтенд Safe Wallet, специально нацеленный на холодный кошелек Bybit. Когда Bybit пошли ребалансировать свои кошельки, вредоносный код был активирован, что вместо этого привело к тому, что инженеры Bybit подписали транзакцию, передающую контроль над холодным кошельком TraderTraitor.

Обеспечение безопасности

Северная Корея продемонстрировала способность развертывать 0day уязвимости против противников, но на данный момент нет записей или известных инцидентов развертывания Северная Кореей 0day уязвимостей против криптовалютной индустрии. Поэтому для почти всех угроз со стороны северокорейских хакеров применимы типичные рекомендации по безопасности.

Для частных лиц важно здравомыслие и осторожность в отношении методов социальной инженерии. Например, если кто-то утверждает, что обладает какой-то高度 конфиденциальной информацией и готов поделиться ею с вами, будьте осторожны. Или, если кто-то оказывает на вас временное давление, требуя загрузить и запустить определенное программное обеспечение, подумайте, не пытаются ли они загнать вас в ситуацию, где вы не сможете мыслить логически.

Для организаций применяйте принцип наименьших привилегий wherever possible. Минимизируйте количество людей, имеющих доступ к чувствительным системам, и убедитесь, что они используют менеджеры паролей и 2FA. Держите личные устройства и рабочие устройства отдельно и устанавливайте программное обеспечение для управления мобильными устройствами (MDM) и обнаружения и реагирования на конечных точках (EDR) на рабочих устройствах, чтобы обеспечить безопасность до взлома и видимость после взлома.

К сожалению, для крупных бирж или других высокоценных целей TraderTraitor может нанести ущерб сверх ожиданий даже без 0day уязвимостей. Поэтому необходимо предпринять дополнительные меры предосторожности, чтобы не существовало единой точки отказа, чтобы один взлом не привел к потере всех средств.

Однако, даже если все пойдет не так, надежда все еще есть. У ФБР есть отдел,专门 отслеживающий и предотвращающий вторжения Северной Кореи, который годами занимается уведомлением жертв, и недавно я был рад помочь агентам этого отдела установить контакт с потенциальными целями Северной Кореи. Поэтому, чтобы подготовиться к худшему, убедитесь, что у вас есть общедоступная контактная информация или вы связаны с достаточным количеством людей в экосистеме (например, SEAL 911), чтобы сообщения, проходящие через социальный граф, достигали вас максимально быстро.