Jak północnokoreańscy hakerzy stojący za WannaCry uciekli od oszałamiającej krypto-napadu

Przywódca Korei Północnej Kim Dzong Un przeprowadza inspekcję gotowości bojowej jednostki 1017 Sił Powietrznych i Przeciwlotniczych Koreańskiej Armii Ludowej w nieznanym miejscu w Korei Północnej. Powiązana prasa

Cyberataki na giełdy kryptowalut są obecnie powszechne, ale kradzież nieco ponad 7 milionów dolarów z singapurskiej giełdy DragonEx w marcu zeszłego roku wyróżnia się co najmniej z trzech powodów.

Po pierwsze, istnieje niezwykle skomplikowany schemat phishingowy, do którego wykorzystali się atakujący, który obejmował nie tylko fałszywe strony internetowe, ale także fałszywe boty handlujące kryptowalutami. Jest też sprytny sposób, w jaki wyprali kryptowalutę, którą ukradli. Last but not least: wygląda na to, że pracowali dla Kim Dzong-un.

Napad, którego nowe szczegóły były niedawno opublikowany autorstwa firmy Chainalysis zajmującej się analizą blockchain, pokazuje, jak dobrzy stali się dzisiejsi rabusie cyfrowych banków. A jeśli to i inne raporty mają rację wskazując na hakerów z Korei Północnej jako sprawców, wygląda na to, że jest to część większej strategii przetrwania reżimu Kima, który został odcięty od globalnego systemu finansowego przez międzynarodowe sankcje gospodarcze mające na celu ograniczenie jego programu broni jądrowej.

DragonEx nie była pierwszą giełdą kryptowalut, która padła ofiarą tego konkretnego zespołu hakerów, który niektórzy analitycy bezpieczeństwa nazywają Grupą Lazarus. Grupa atakuje branżę od co najmniej 2017 roku, w ramach szerszej kampanii skierowanej do instytucji finansowych. W sierpniu, zgłosiła się grupa niezależnych ekspertów do Organizacji Narodów Zjednoczonych, że Korea Północna wygenerowała szacunkowo 2 miliardy dolarów na swój program rakietowy, wykorzystując szeroko zakrojone i coraz bardziej wyrafinowane cyberataki w celu kradzieży z banków i giełd kryptowalut. Wykorzystanie przez reżim kryptowaluty w celu uniknięcia sankcji jest przyczyną niedawnego ostrzeżenia tej samej grupy ekspertów ONZ, by nie brał udziału w zbliżającej się konferencji blockchain w Pjongjangu.

Powszechnie uważa się, że Lazarus Group jest odpowiedzialna za kilka włamań, które trafiają na nagłówki gazet, w tym włamanie do Sony Pictures w 2014 r. i włamanie do oprogramowania ransomware WannaCry w 2017 r., które dotknęło setki tysięcy komputerów w 150 krajach. Ale to kradzież 81 milionów dolarów z banku centralnego Bangladeszu w 2016 r. zapowiadała ostateczne ukierunkowanie na giełdy kryptograficzne. Według FBI , napastnicy spędzili ponad rok na rozpoznaniu, zanim uzyskali dostęp do systemu komputerowego banku za pomocą skomplikowanej kampanii phishingowej.

Dręczony słabymi zabezpieczeniami ekosystem kryptowalut był łatwym celem dla hakerów z Korei Północnej, którzy mieli już doświadczenie w ściganiu instytucji finansowych, mówi Priscilla Moriuchi , szef badań nad państwem narodowym w Recorded Future, firmie zajmującej się cyberbezpieczeństwem. Są o wiele bardziej zdolni, niż sądzą, zwłaszcza jeśli chodzi o przestępstwa finansowe, mówi Moriuchi.

Aby skompromitować DragonEx, Lazarus stworzył fałszywą firmę, która reklamowała zautomatyzowanego bota do handlu kryptowalutami o nazwie Worldbit-bot, mówi Analiza łańcuchowa . Wynaleziona firma miała stronę internetową, a jej wymyśleni pracownicy mieli nawet obecność w mediach społecznościowych. Kiedy zaproponowali pracownikom DragonEx bezpłatną wersję próbną oprogramowania handlowego, ktoś pobrał złośliwe oprogramowanie na komputer, na którym znajdowały się klucze prywatne do portfeli giełdy.

w opublikowane badania na początku tego miesiąca Kaspersky opisuje kolejny z niedawnych programów Grupy Lazarus, który najwyraźniej był również wymierzony w firmy zajmujące się kryptowalutami. W tym przypadku osoby atakujące stworzyły fałszywe firmy, a następnie zwabiły cele do pobrania złośliwego oprogramowania za pomocą popularnej aplikacji do przesyłania wiadomości Telegram.

Jednak włamanie i kradzież pieniędzy nie wystarczy. Muszą wypłacić pieniądze. Według Chainalysis w ubiegłym roku Grupa Lazarus całkowicie zmieniła sposób, w jaki to robi. W zeszłym roku wydawał się dość niewyszukany w swoich technikach prania pieniędzy, zwykle pozwalając skradzionym funduszom siedzieć przez 12 do 18 miesięcy, zanim wypłacił pieniądze za pomocą giełdy, która nie śledzi, kim są jej klienci. (Giełdy kryptowalut w większości jurysdykcji są zobowiązane do śledzenia tożsamości swoich klientów, właśnie z tego powodu.)

Sposób, w jaki grupa przeniosła swoje pieniądze po włamaniu na DragonEx w marcu zeszłego roku, był najwyraźniej znacznie bardziej wyrafinowany. Wykorzystali o wiele więcej kroków pośrednich, w tym giełdy i różnorodne portfele cyfrowe. Monety trafiły do ​​specjalnego rodzaju portfela, który wykorzystuje technologię prywatności zgodną z Bitcoin o nazwie CoinJoin, która łączy transakcje wielu użytkowników w sposób, który utrudnia określenie, kto wysłał daną płatność do którego odbiorcy. A hakerzy szybciej wypłacili pieniądze: według Chainalysis prawie wszystkie środki zostały przeniesione do usług likwidacyjnych w ciągu 60 dni.

Nowe i ulepszone metody hakerów z Korei Północnej mogą mniej mówić o ich własnych możliwościach niż o narzędziach do prania pieniędzy, które są obecnie dostępne w świecie kryptowalut. Szefowa badań Chainalysis, Kim Grauer, mówi, że w 2019 r. jej zespół zauważył duży wzrost zaawansowanej infrastruktury do prania, do której mogą po prostu podłączyć różne organizacje przestępcze. Innymi słowy, nawet przestępcy, którzy nie znają się na blockchainach, mogą mieć łatwy dostęp do wyrafinowanych metod ukrywania swoich śladów po kradzieży kryptowaluty. Tak czy inaczej, dopóki giełdy będą miały luki w zabezpieczeniach, grupy takie jak Lazarus będą je okradać.

ukryć