Cała fałszywa firma zajmująca się ofensywnym ITsec założona przez rządowych hackerów w Korei Północnej. Zasadzka na badaczy bezpieczeństwa IT

W styczniu Google poinformował o ciekawej kampanii realizowanej przez hakerów sponsorowanych przez rząd Korei Północnej. Fałszywe profile, blog z exploitem do przeglądarki czy wiadomości prywatne na Twitterze – było ciekawie:

Dzisiaj Google opublikował ostrzeżenie przed nową kampanią hakerów reżimu:

Pasjonaci versus profesjonaliści

Na początku hakerzy z Korei Północnej korzystali z fałszywych profili między innymi na Twitterze, aby zbudować fałszywą narrację “pasjonata” szukającego kogoś do pomocy w badaniach:

Tym razem Korea Północna zrezygnowała z pasjonatów i “zainwestowała” w firmę pełną “profesjonalistów”:

Na jej stronie możemy przeczytać, że “Securielite” to “Turecka firma zajmująca się bezpieczeństwem ofensywnym i oferująca szereg usług, takich jak pentesty, audyty bezpieczeństwa czy exploity”. Strona jest jednak przynętą do zwabienia badaczy bezpieczeństwa, a następnie zainfekowania ich urządzeń złośliwym oprogramowaniem wykorzystującym podatności 0-day. Do budowania narracji “poważnej” firmy jej twórcy wykorzystują także fałszywe profile na portalach społecznościowych, takich jak Twitter czy LinkedIn:

Google nie opublikował zbyt wielu informacji na temat złośliwego oprogramowania czy exploitów wykorzystywanych w nowej kampanii. Jest za to dostępna lista fałszywych profili i stron powiązana z tymi atakami:

A na koniec ciekawostka:

Jedno z nazwisk wykorzystanych do utworzenia fałszywego profilu to “Lazarescue”, co prawdopodobnie jest nawiązaniem do ogólnie przyjętej nazwy grupy hakerskiej odpowiedzialnej za tę kampanię – Lazarus.

~ Jakub Bielaszewski