31/01/2022
Měsíce pečlivě sledují, pak udeří. BlueNoroff drancuje účty startupů
Jak probíhá sofistikovaný hackerský útok? Není výjimkou, že na něm pracují počítačoví piráti i několik měsíců, kdy pečlivě sledují svou oběť. Teprve až potom udeří. Uvedli to bezpečnostní experti z antivirové společnosti Kaspersky, kteří detailně zmapovali aktéra pokročilých perzistentních hrozeb (APT) BlueNoroff.
Hackeři mají ve svém infekčním arzenálu několik různých metod, jak záškodníka dostat do cizího počítačového systému. Kromě speciálně upravených wordových dokumentů, které obsahují škodlivý kód, často využívají také zazipované soubory zástupců ve Windows.
Když se BlueNoroff dostane do počítače, je to teprve začátek celé práce hackerů. Nezvaný návštěvník stahuje do napadeného systému další nástroje sledování oběti, keylogger pro zaznamenávání každého stisku klávesnice a pořizovač screenshotů.
Kyberzločinci následně sledují své oběti týdny i měsíce. V tomto období sledují každodenní operace uživatele a zároveň plánují strategii pro finanční krádež. „Když najdou vhodný cíl, který používá populární rozšíření prohlížeče pro správu kryptopeněženek – například MetaMask –, nahradí hlavní komponentu rozšíření falešnou verzí,“ prohlásil Seongsu Park, bezpečnostní analytik z týmu GReAT (Global Research and Analysis Team) společnosti Kaspersky.
Podle výzkumníků následně dostanou útočníci po zjištění velkých finančních převodů oznámení o transakci. „Když se napadený uživatel pokusí převést nějaké prostředky na jiný účet, útočníci zachytí proces transakce a vloží do něj vlastní příkazy. V okamžiku, kdy uživatel pro dokončení iniciované platby klikne na potvrzovací tlačítko, kyberzločinci změní adresu příjemce a maximalizují částku transakce, čímž v podstatě vyčerpají naráz celý účet oběti,“ konstatoval Seongsu Park.
Útočí na menší a středně velké společnosti
BlueNoroff je produktem velké hackerské skupiny Lazarus. Tento škodlivý kód se nezaměřuje na běžné uživatele, ale především na startupy – na menší a středně velké společnosti, které podnikají v oblasti kryptoměn a chytrých kontraktů, decentralizovaných financí (DeFi), blockchainu a finančních technologií (FinTech). Popis celého útoku jasně ukazuje, jak jsou kyberzločinci vynalézaví a že propašováním škodlivého kódu do počítače jejich práce teprve začíná.
„Vzhledem k tomu, že útočníci neustále přicházejí se spoustou nových metod pro oklamání a zneužití obětí, měly by i malé firmy vzdělávat své zaměstnance v základních postupech kybernetické bezpečnosti. Zvláště důležité je to v případě, že firma pracuje s kryptoměnovými peněženkami – na používání kryptoměnových služeb a rozšíření do prohlížečů není nic špatného, mějte však na paměti, že je to také atraktivní cíl pro APT i kyberzločince. Proto je třeba tento sektor dobře chránit,“ doplnil Seongsu Park.
