Atenție, români! Hackeri nord-coreeni își intensifică atacurile prin emailuri riscante
Directoratul Naţional de Securitate Cibernetică (DNSC) avertizează asupra unei campanii phishing în desfăşurare, atribuită grupării nord-coreene Konni. Atacatorii își propun să infecteze utilizatorii vizați prin atașarea unor fișiere periculoase de tip LNK în email-urile transmise. Ulterior, virusul este descărcat folosind inclusiv infrastructura cibernetică a unor furnizori de servicii de tip cloud de încredere, cum ar fi Dropbox sau GoogleDrive.
„O nouă campanie de phishing în desfăşurare a fost identificată (10.03) de către Directoratul Naţional de Securitate Cibernetică prin date obţinute din monitorizarea surselor deschise din spaţiul cibernetic. Campania este foarte probabil atribuită grupării Konni, asociată adeseori cu actorii statali nord-coreeni, identificaţi în comunitatea de specialitate drept APT37, respectiv Kimsuki”, a transmis DNSC.
Cum se derulează atacul
Analiza atacurilor cibernetice recente atribuite grupului nord-coreean Konni a evidenţiat utilizarea fişierelor de tip LNK pentru a distribui malware-ul AsyncRAT. Această metodă implică folosirea fişierelor de comandă rapidă specifice sistemului de operare Windows pentru a executa comenzi maliţioase fără a necesita macrocomenzi, o tehnică adoptată pe scară largă de atacatori pentru a evita măsurile de securitate care blochează macrocomenzile în documentele suitei Office a companiei Microsoft.
Odată accesate de utilizatorii vizaţi, fişierele maliţioase execută un script PowerShell ascuns în structura acestora, care descarcă şi deschide un document fals pentru a distrage atenţia, în timp ce instalează malware-ul AsyncRAT pe sistemul victimei. Pentru descărcarea şi instalarea payload-urilor maliţioase în diferite etape ale atacului, atacatorii utilizează atât servere proxy de comandă şi control (C&C), cât şi soluţii de la furnizori de servicii de tip cloud cunoscute, precum Dropbox şi GoogleDrive.
„AsyncRAT este un troian de acces de la distanţă care permite atacatorilor să controleze sistemele infectate, să colecteze date şi să execute comenzi arbitrare. În campaniile recente, s-a observat că informaţiile C&C nu mai sunt codificate direct în malware, ci sunt transmise ca parametri în momentul executării, ceea ce îngreunează detectarea şi analizarea acestuia”, arată DNSC.
Konni, o grupare nord-coreeană activă în spaţiul cibernetic încă din anul 2014, foloseşte tehnici precum phishing şi spear-phishing pentru a ataca cu preponderenţă sistemele informatice din Coreea de Sud şi Rusia, fiind asociată uneori cu gruparea Kimsuky, asociată serviciilor de informaţii militare din Coreea de Nord, responsabilă pentru atacuri lansate inclusiv în SUA şi Europa. Atacurile lansate de gruparea Konni vizează în principal exfiltrarea de date şi informaţii din sistemele vizate, metodele de operare prezentând multiple similarităţi cu cele utilizate de către actorii statali APT37 şi Lazarus Group.
Recomandări generale
- Fiţi informaţi: Verificaţi regulat actualizările de la DNSC cu privire la riscurile, ameninţările şi vulnerabilităţile de securitate cibernetică.
- Utilizaţi parole puternice: Asiguraţi-vă că parolele dvs. sunt complexe şi unice pentru diferite conturi.
- Activaţi autentificarea cu doi factori: Aceasta adaugă un nivel suplimentar de securitate pentru conturile dvs. online.
- Realizaţi backup-ul datelor: Faceţi backup-ul regulat al fişierelor importante pe un disc extern sau un serviciu de tip cloud.
- Verificaţi tipul fişierului: Înainte de a rula un fişier, verificaţi tipul fişierului pentru a vă asigura că nu este un fişier „comandă rapidă” (LNK) care poate conţine coduri rău intenţionate.
- Nu deschideţi ataşamente din e-mailuri necunoscute: Nu rulaţi ataşamente din e-mailuri care provin de la surse necunoscute sau care par suspecte.
- Verificaţi expeditorul şi adresa de e-mail: Asiguraţi-vă că expeditorul e-mailului este o organizaţie de încredere.
- Scanare antivirus: Dacă bănuiţi că un ataşament este maliţios, încărcaţi-l într-o scanare antivirus sau platforme gratuite pentru a verifica dacă acesta este suspect sau maliţios.
