Północnokoreańscy hakerzy celowali w krypto

Szeroka kampania i cel: krypto

Najnowsze ustalenia pokazują, że północnokoreańscy hakerzy uzyskali dostęp do systemów powiązanych z 1 640 firmami w 57 krajach. W centrum ich zainteresowania znalazły się przede wszystkim portfele kryptowalutowe oraz infrastruktura blockchain.

Według przekazanych danych, 700–800 organizacji padło ofiarą realnych, poważnych włamań, które dały atakującym szeroki dostęp do serwerów firmowych, środowisk chmurowych, poświadczeń deweloperów i aktywów cyfrowych.

Jak działał atak

Cyberprzestępcy kusili programistów fałszywymi ofertami pracy z wysokimi stawkami. Po nawiązaniu kontaktu ofiary miały pobierać oprogramowanie albo wykonywać zadania techniczne, które kończyły się instalacją malware na urządzeniach.

Ta metoda jest znana jako Contagious Interview. Wykorzystuje fałszywych rekruterów, zmyślone rozmowy kwalifikacyjne, złośliwe repozytoria kodu i pliki do pobrania, aby przejąć dane dostępowe.

Dlaczego to było tak skuteczne

Ataki były szczególnie groźne, ponieważ obejmowały nie tylko pracowników etatowych, ale też zewnętrznych kontraktorów. Jeden przejęty deweloper mógł mieć dostęp nawet do 30 różnych firm, co znacząco zwiększało zasięg całej operacji.

Celem hakerów nie było wyłącznie zdobywanie danych wrażliwych z sektorów prywatnego, publicznego czy medycznego. Z przekazanych informacji wynika, że przede wszystkim chodziło o:

• dane logowania do portfeli kryptowalutowych,
• dostęp do infrastruktury blockchain,
• poświadczenia deweloperskie,
• dostęp do firmowych systemów i chmur.

Które firmy zostały wskazane

Wśród publicznie wymienionych podmiotów znalazły się m.in. Coinbase, Uniswap Labs, Boston Children’s Hospital, japońska firma AEON Smart Technology, producent smartfonów Oppo, najwyższa rada sądownicza we Włoszech oraz agencja technologiczna powiązana z władzami Flandrii.

Niektóre z tych organizacji odniosły się już do sprawy, wskazując, że:

• w przypadku jednego z kontraktorów nie znaleziono dowodów na powiązania z Koreą Północną,
• w innym incydencie problem dotyczył prywatnego urządzenia byłego kontraktora, a nie systemów wewnętrznych,
• część potencjalnie ujawnionych danych dostępowych została unieważniona i zastąpiona,
• zidentyfikowane incydenty zostały ograniczone.

Długie śledztwo i duża skala danych

Badacz, który ujawnił sprawę, miał przez 22 miesiące analizować systemy dowodzenia i kontroli używane przez grupę. W tym czasie przejrzał około 5 terabajtów danych, co pozwoliło mu zidentyfikować potencjalne ofiary na podstawie poświadczeń deweloperów, kodu źródłowego i innych informacji przechowywanych w przejętej infrastrukturze.

Szerszy kontekst: presja na firmy z USA

Sprawa wpisuje się w szersze ostrzeżenia amerykańskich władz dotyczące północnokoreańskich pracowników IT działających zdalnie pod fałszywą tożsamością. Według tych ostrzeżeń takie działania służą zdobywaniu pieniędzy dla reżimu, a w niektórych przypadkach są też powiązane z kradzieżami kryptowalut i finansowaniem programu zbrojeniowego Korei Północnej.

Co z tego wynika dla rynku

Opisana kampania pokazuje, że dla atakujących kryptowaluty pozostają jednym z najcenniejszych celów. Same zabezpieczenia infrastruktury firmowej nie wystarczą, jeśli przejęte zostaną konta kontraktorów i dostęp do narzędzi programistycznych.

W praktyce oznacza to, że ryzyko dla sektora krypto nie ogranicza się do giełd czy protokołów DeFi. Równie ważnym celem są dziś ludzie z dostępem do kodu, chmury i portfeli.