Avertisment de la DNSC: campanie de phishing a hacker-ilor nord-coreeni, în plină desfășurare

Directoratul Naţional de Securitate Cibernetică (DNSC) avertizează asupra unei campanii phishing în plină desfăşurare, atribuită grupării nord coreene Konni. Atacatorii urmăresc infectarea iniţială a utilizatorilor vizaţi prin ataşarea unor fişiere maliţioase de tip LNK în email-urile transmise. Ulterior, malware-ul este descărcat folosind inclusiv infrastructura cibernetică a unor furnizori de servicii de tip cloud de încredere, cum ar fi Dropbox sau GoogleDrive, transmite DNSC, într-o postare pe pagina de Facebook.

”O nouă campanie de phishing în desfăşurare a fost identificată de către Directoratul Naţional de Securitate Cibernetică prin date obţinute din monitorizarea surselor deschise din spaţiul cibernetic. Campania este foarte probabil atribuită grupării Konni asociată adeseori cu actorii statali nord coreeni, identificaţi în comunitatea de specialitate drept APT37, respectiv Kimsuki”,

a relatat DNSC.

Specialiştii au explicat și mecanismul fraudei informatice în cadrul campaniei identificate:

”Atacatorii urmăresc infectarea iniţială a utilizatorilor vizaţi prin ataşarea unor fişiere maliţioase de tip LNK în email-urile transmise. Ulterior, malware-ul este descărcat folosind inclusiv infrastructura cibernetică a unor furnizori de servicii de tip cloud de încredere în relaţia cu victimele (i.e., Dropbox, GoogleDrive).

Analiza atacurilor cibernetice recente atribuite grupului NK  Konni a evidenţiat utilizarea fişierelor de tip LNK pentru a distribui malware-ul AsyncRAT.

Această metodă implică folosirea fişierelor de comandă rapidă specifice sistemului de operare Windows pentru a executa comenzi maliţioase fără a necesita macrocomenzi, o tehnică adoptată pe scară largă de atacatori pentru a evita măsurile de securitate care blochează macrocomenzile în documentele specifice suitei Office a companiei Microsoft.

Specific, odată accesate de către utilizatorii vizaţi, fişierele maliţioase execută un script PowerShell ascuns în structura acestora, care descarcă şi deschide un document fals pentru a distrage atenţia, în timp ce instalează malware-ul AsyncRAT pe sistemul victimei”,

explică specialiştii.

Potrivit acestora, pentru descărcarea şi instalarea payload-urilor maliţioase în diferite etape ale atacului, atacatorii utilizează atât servere proxy de comandă şi control (C&C), cât şi soluţii de la furnizori de servicii de tip cloud cunoscute, precum Dropbox şi GoogleDrive.

”AsyncRAT este un troian de acces de la distanţă care permite atacatorilor să controleze sistemele infectate, să colecteze date şi să execute comenzi arbitrare. În campaniile recente, s-a observat că informaţiile C&C nu mai sunt codificate direct în malware, ci sunt transmise ca parametri în momentul executării, ceea ce îngreunează detectarea şi analizarea acestuia”,

arată DNSC.

Konni, o grupare nord-coreeană activă în spaţiul cibernetic încă din anul 2014, foloseşte tehnici precum phishing şi spear-phishing pentru a ataca cu preponderenţă sistemele informatice din Coreea de Sud şi Rusia, fiind asociată uneori cu gruparea Kimsuky asociată serviciilor de informaţii militare din Coreea de Nord, responsabilă pentru atacuri lansate inclusiv în SUA şi Europa.

De asemenea, atacurile lansate de gruparea Konni vizează în principal exfiltrarea de date şi informaţii din sistemele vizate, metodele de operare în spaţiul cibernetic prezentând multiple similarităţi cu cele utilizate de către actorii statali APT37 şi Lazarus Group.

Recomandări generale:

• Fiţi informaţi! Verificaţi regulat actualizările de la DNSC cu privire la riscurile, ameninţările şi vulnerabilităţile de securitate cibernetică.
• Utilizaţi parole puternice! Asiguraţi-vă că parolele dvs. sunt complexe şi unice pentru diferite conturi.
• Activaţi autentificarea cu doi factori! Aceasta adaugă un nivel suplimentar de securitate pentru conturile dvs. online.
• Realizaţi backup-ul datelor! Faceţi backup-ul regulat al fişierelor importante pe un disc extern sau un serviciu de tip cloud.
• Verificaţi tipul fişierului! Înainte de a rula un fişier, verificaţi tipul fişierului pentru a vă asigura că nu este un fişier “comandă rapidă” (LNK) care poate conţine coduri rău intenţionate. Dacă este un fişier LNK, evitaţi să îl rulaţi.
• Nu deschideţi ataşamente din e-mailuri necunoscute! Nu rulaţi ataşamente din e-mailuri care provin de la surse necunoscute sau care par suspecte. Aceste ataşamente pot conţine malware care poate infecta computerul dvs.
• Verificaţi expeditorul şi adresa de e-mail! Asiguraţi-vă că expeditorul e-mailului este o organizaţie de încredere şi că adresa de e-mail este validă. Dacă expeditorul sau adresa de e-mail pare suspectă, nu rulaţi ataşamentul.
• Scanare antivirus! Dacă bănuiţi că un ataşament este maliţios, încărcaţi-l într-o scanare antivirus sau platforme gratuite ca #VirusTotal pentru a verifica dacă acesta este suspect sau maliţios. Dacă se aplică o parolă de compresie, încărcaţi fişierul rezultat după decompresie.