В ноябре 2024 года был раскрыт случай распространения вредоносных программ BeaverTail и Tropidoor через рекрутинговые электронные письма, где злоумышленники выдавали себя за рекрутеров из сообщества разработчиков Dev.to.
Описание
Жертвам предлагались ссылки на BitBucket, содержащие проекты, в которых были обнаружены вредоносные программы. BeaverTail представляла собой вредоносную программу, скрывающуюся под названием "tailwind.config.js", а Tropidoor был бэкдором, работающим через загрузчик.
Анализ файлов BeaverTail и загрузчика "car.dll" подтвердил, что они используются северокорейскими хакерами для кражи информации и загрузки дополнительного вредоносного ПО. BeaverTail в основном распространяется через фишинговые атаки, замаскированные под предложения о работе, такие как атаки на пользователей LinkedIn. В Корее также были обнаружены случаи распространения BeaverTail, и в проекте были найдены ключевые слова связанных путей установки.
BeaverTail представлен в виде вредоносной программы на JavaScript с обфусцированной рутиной, которая выполнит функции Infostealer и загрузчика. Она нацелена на веб-браузеры и предназначена для кражи учетной информации и данных криптовалютного кошелька, а также загрузки дополнительного вредоносного ПО, вроде InvisibleFerret.
Тropidoor, работающий через загрузчик, представляет собой бэкдор, который пытается подключиться к адресам C&C-серверов. Он собирает информацию о системе, генерирует случайный ключ и передает его зашифрованным открытым ключом RSA. Он также выполняет команды, полученные от C&C-сервера и отправляет результаты обратно.
Все эти вредоносные программы были обнаружены в проекте, распространяемом через электронные письма от злоумышленников, выдающих себя за рекрутеров.
Indicators of Compromise
