Российская компания, специализирующаяся на разработке систем защиты от киберугроз, «Лаборатория Касперского» обвинила северокорейскую группировку Lazarus (она же Hidden Cobra) в атаке на одну из азиатских криптобирж с целью распространения трояна Fallchill, который работает как под Windows, так и в среде macOS.
Аналитики «Лаборатории Касперского» заявляют, что успеху атаки сопутствовал человеческий фактор. Ничего не подозревающий сотрудник компании-жертвы скачал стороннее приложение с сайта разработчика ПО для торговли криптовалютами. Сайт при этом выглядел вполне легитимно.
Код приложения, оказавшегося вредоносным, в целом не вызывает подозрений, за исключением одного компонента, отвечающего за обновления. В легитимном ПО подобные модули используются для загрузки новых версий программы. Однако в случае AppleJeus этот компонент применялся для «разведки» и сбора информации: программа собирала базовые данные о компьютере, отправляла их злоумышленникам, и, если те решали, что жертва им интересна, загружала вредоносный код под видом обновления. Зловред, попадавший на зараженные компьютеры, оказался хорошо известен исследователям: это троянец Fallchill – старый инструмент Lazarus, к которому группировка недавно решила вернуться. Именно этот факт и позволил аналитикам сделать предположение, кто стоит за атакой под названием "AppleJeus".
После установки Fallchill предоставляет атакующим практически неограниченный доступ к компьютеру жертвы, позволяя им красть ценную финансовую информацию или развертывать дополнительные инструменты в зависимости от цели и обстоятельств.
«Мы заметили растущий интерес Lazarus к рынкам криптовалют в начале 2017 г., когда группировка установила на одном из своих серверов ПО для майнинга Monero. С тех пор их неоднократно замечали в атаках на криптовалютные биржи и другие финансовые организации. На этот раз они разработали отдельное ПО для заражения пользователей macOS, расширив таким образом круг потенциальных жертв, и, скорее всего, создали целую поддельную софтверную компанию и поддельное ПО, чтобы обойти радары защитных решений. Все это говорит о том, что они видят в операции AppleJeus потенциально большую выгоду, и в ближайшем будущем подобных атак может стать больше. А для пользователей macOS это должно стать своего рода сигналом тревоги, особенно если они используют свои Mac-компьютеры для операций с криптовалютами», – отметил Юрий Наместников, руководитель российского исследовательского центра «Лаборатории Касперского».
Подписывайся на канал Crypto.Pro в Telegram - всегда свежие новости и обзор рынка