Centinaia di migliaia di credenziali di aziende sono già stati compromessi. Gli esperti sensibilizzano tramite una campagna che può aiutare a superare i passati attacchi cyber globali, come il ramsomware WannaCry del 2011.
Tutto è cominciato con una offerta di lavoro. L’anno scorso il vice-presidente dell’azienda Crystal Intelligence’s esperta nel campo della supervisione dei crimini nella blockchain, ha ricevuto un messaggio su LinkedIn da una persona chiedendo se fosse disponibile a valutare qualche progetto freelance legato allo sviluppo di un sito.
Il Vice-Presidente è divenuto subito sospetto e sapeva che alcuni hacker nordcoreani noti come Contagious Interview regolarmente utilizzavano false proposte di lavoro per colpire obiettivi a livello di criptovalute. Da quando questo “lavoro” ha coinvolto il codice di GitHub, è stato scoperto un elemento importante: nascosto nel codice del sito c’era l’inizio di un attacco alla catena, formattato di modo che gli sviluppatori continuavano a pensare che fosse una innocua proposta di lavoro che non sarebbe stata mai notata.
Questo codice, una volta utilizzato, avrebbe raggiunto le app di TRON e APTOS di blockchain che avrebbe permesso di entrare in registri pubblici che registravano e facilitavano le transazioni di criptovalute e prendendo informazioni da usare come indicatore per Binance Smart Chain. Essa poi alla fine trasformava ciò in un “codice finale pericoloso”, dice Nick Smart il capo ufficio dell’intelligence di Crystal Intelligence’s. e una volta avviato questo codice poteva ottenere l’accesso a molte informazioni dei dispositivi delle vittime che l’azienda investigatrice RANSOM-ISAC, composta da un piccolo gruppo internazionale di professionisti della cybersicurezza si occupa del perseguimento dei cybercrimini.
“Letteralmente ruba tutto” ha affermato Ellis Stannard, un membro chiave di RANSOM-ISAC. Il suo team ha scoperto che questo Omnistealer era compatibile con più di 60 app portafoglio di criptovalute, incluse MetaMask e Coinbase; più di 10 gestori di password come LastPass; più di 10 motori di ricerca, inclusi Chrome e Firefox; e siti cloud come Google Drive. Questo significa, che oltre a rubare le criptovalute, può riguardare anche il cambiamento di password e credenziali privilegiate per fare accesso ad informazioni riservate di organizzazioni.
La prima cosa che è apparsa da questa comune richiesta di lavoro è stata una campagna di phishing che ultimamente ha rivelato la sua diffusione e facilmente da replicare tanto che gli investigatori temono danni irreversibili.
Ancora peggio è che quando viene avviato non importa se il dato rubato è aziendale o personale, ma significa che chiunque anche amministratori di sicurezza del settore IT, possono essere colpiti.
I ricercatori di RANSOM-ISAC, parlano in esclusiva con PCMag per quanto riguarda gli obiettivi degli attacchi, mostrando le motivazioni dietro l’attacco di questi soggetti, anche se più contenuto rispetto allo scopo di WannaCry che aveva un profilo molto più importante a livello internazionale mostratosi come ramsomware che ha colpito più di 200.000 computer nel 2017.
Il tracciamento delle criptovalute rubate a Vladivostok rivela dei legami con la Corea del Nord
Andando avanti con ulteriori indagini, gli investigatori hanno collegato questa attività di malware ad alcuni particolari indirizzi IP provenienti da ex edifici consolari statunitensi a Vladivostok, in Russia, dove altri ricercatori dei cybercrimini avevano precedentemente trovato dei legami con attori nordcoreani.
“Ieri, Vladivostok aveva più denaro di quanto ce ne fosse nelle riserve a Mosca”, dice Smart a dicembre quando in realtà le circa 600.000 persone della città rappresentano circa l’1 % totale delle riserve dello Stato.
Piuttosto gli hacker Smart e i loro colleghi hanno tracciato un indirizzo IP in una città che era stata usata con questo metodo scaltro per scoprire poi una rete di furti di milioni di dollari in criptovalute. Il codice che questi hacker avevano utilizzato ha provocato una reazione su tutta la catena che in molti casi il malware Omnistealer, si nascondeva tra le transazioni delle blockchain per anni prima della loro attivazione.
“Nascondere grandi quantità nella blockchain è diventata una emergente tecnica di offuscamento”, secondo i collaboratori di RANSOM-ISAC e comunque gli investigatori della “catena di attacco” hanno scoperto il furto di 300.000 credenziali rubate legate a questo sistema, che secondo Stannard, rappresentano probabilmente soltanto la punta dell’iceberg. Tra le vittime sono presenti grandi imprese di cybersicurezza, imprese operanti nel settore della difesa ed entità governative in paesi come gli Stati Uniti d’America e il Bangladesh.
Gli sviluppatori mondiali e appaltatori sono i primi ad essere colpiti
Per ottenere l’accesso, gli hacker cercano una serie di recruiters delle aziende e quindi si impossessano delle loro credenziali (che possono essere ottenute tramite Oministealer) o come sviluppatori freelance cercando di essere assunti.
I ricercatori di RANSOM-ISAC hanno scoperto che usando queste due metodiche gli hackers ottengono e-mail e credenziali per un più ampio raggio di organizzazioni, incluso una industria per contenuti di adulti, una impresa francese attiva nel settore finanziario, un servizio di spedizione di cibo kosher e imprese di sicurezza e difesa, molto spesso legate a domini web dell’esercito americano o del Governo stesso. Tra le colpite ricordiamo anche un fornitore ufficiale di Lockheed Martin, una impresa indiana specializzata in sorveglianza e guerra cibernetica e una azienda globale che si occupa di web design.
LinkedIN, Upwork, Telegram: come gli hackers reclutano gli inconsapevoli
I truffatori coinvolti in queste operazioni solitamente iniziano ad avere i primi contatti tramite LinkedIn, Upwork, Telegram e Discord. Un rappresentante di LinkedIn ha condiviso un post per aiutare gli utenti a capire quali siano degli annunci lavorativi falsi e quali recruiter non sono reali. Un rappresentante di Upwork ha detto a PCMag che il sito dove sono presenti le offerte di lavoro “incoraggia” i clienti ad avere precauzione con “download non sicuri” e di usare “luoghi sicuri” quando si utilizzano piattaforme esterne.
Hacker legati a Stati potrebbero nascondersi dietro questo meccanismo
Può essere difficile capire chi sia dietro questa complessa rete, ma gli investigatori pensano che ci siano degli Stati che sponsorizzino queste azioni come gli hacker nordcoreani.
L’impresa operante nel settore sicurezza Trend Micro, ha documentato che vari attori che hanno partecipato a passate operazioni hanno beneficiato dell’aiuto del governo della Corea del Nord utilizzando questi indirizzi spacciandosi come recruiter falsi. Nel 2019 un paper realizzato dalla NATO North Korea’s Cyber Operations and Strategies menziona dei legami proprio tra la Corea del Nord e Vladivostok, notando come “la Corea del Nord ha deciso di espandere la sua connessione internet alla Russia” attorno al 2017.
Molte delle criptovalute usate in queste operazioni erano legate a degli attori nordcoreani legati a WannaCry e agli attacchi rivolti dal Gruppo Lazarus verso Sony nel 2014, comprendendo anche il recente furto di circa 1.5 miliardi di $ a danno della borsa delle criptovalute situata a Dubai nel febbraio 2025.
Il malware non è ancora stato sconfitto e non è neanche la minaccia
Smart e Stannard dicono di avere informato la sezione del FBI legata ai crimini informatici. In risposta alla richiesta di PCMag di rilasciare un commento a margine, il FBI ha detto di “essere preoccupato della minaccia proveniente dalla Corea del Nord che utilizza questa tattica tramite i social, colpendo gli sviluppatori nello spazio della blockchain e questa tecnica evidenzia la costante evoluzione nordcoreana di sfruttare il dominio cibernetico”.
Le indagini dei due esperti mostrano come tra i dati rubati ci siano anche audio e immagini secretati come una risonanza magnetica di una persona e dei documenti relativi a missili a propulsione.
