Группа BlueNoroff, также известная под обозначениями Sapphire Sleet, APT38, Alluring Pisces, Stardust Chollima и TA444, продолжает развивать свои операционные возможности, реализуя сложные целевые атаки на организации, связанные с блокчейн-технологиями и Web3. Согласно последним исследованиям, с начала 2025 года зафиксирована активность двух взаимосвязанных кампаний - GhostCall и GhostHire, направленных на руководителей технологических компаний и разработчиков блокчейн-решений соответственно.
Описание
Кампания GhostCall демонстрирует высокую степень технической изощренности. Злоумышленники напрямую контактируют с потенциальными жертвами через Telegram, представляясь венчурными инвесторами и предлагая обсудить возможности финансирования на онлайн-встрече. Ссылки ведут на фишинговые сайты, имитирующие интерфейс Zoom. После подключения жертва видит видеопотоки реальных людей, ранее пострадавших от этой же угрозы, что создает иллюзию участия в настоящей конференции. Через несколько секунд появляется сообщение о необходимости обновления Zoom SDK, что приводит к загрузке вредоносного AppleScript-файла на устройства macOS.
В кампании GhostHire атакующие используют иную тактику, выдавая себя за рекрутеров и предлагая разработчикам выполнить тестовое задание. После установления контакта и краткого собеседования жертву добавляют в Telegram-бота, который отправляет ZIP-архив с вредоносным репозиторием GitHub. Установленный 30-минутный дедлайн создает психологическое давление, побуждая быстро запустить проект, содержащий скрытую вредоносную нагрузку.
Технический анализ выявил семь многоэтапных цепочек заражения, развертываемых группой BlueNoroff. Среди них - CosmicDoor, RooTroy, SneakMain и несколько версий DownTroy, каждая из которых имеет модульную архитектуру и использует различные языки программирования, включая Nim, Go, Swift и AppleScript. Модульный подход позволяет разделять вредоносное поведение на компоненты, что затрудняет обнаружение средствами защиты.
Особого внимания заслуживает инструмент SilentSiphon - набор стилеров (stealer), который собирает чрезвычайно широкий спектр данных. Помимо стандартных целей вроде криптовалютных кошельков и браузерных учетных данных, злоумышленники извлекают информацию из менеджеров паролей, приложений для заметок, мессенджеров, облачных платформ и даже API-ключи OpenAI. Такой комплексный сбор данных позволяет атакующим получать доступ ко всей инфраструктуре жертвы, а не ограничиваться кражей финансовой информации.
Группа активно использует технологии искусственного интеллекта для повышения эффективности атак. В частности, обнаружены свидетельства применения GPT-4o для обработки изображений профилей жертв, создания убедительных аватаров и, вероятно, генерации вредоносных скриптов. ИИ также помогает в автоматизации социальной инженерии, позволяя злоумышленникам более убедительно выдавать себя за реальных лиц.
География атак охватывает несколько регионов, включая Японию, Италию, Францию, Сингапур, Турцию, Испанию, Швецию, Индию и Гонконг. Основными жертвами становятся руководители технологических и венчурных компаний, связанных с Web3 и блокчейн-технологиями, преимущественно из Азиатско-Тихоокеанского региона.
Атрибуция кампаний группе BlueNoroff основана на анализе инфраструктуры, методов атак и используемого вредоносного ПО, которые совпадают с предыдущими операциями этой группы. Финансовая мотивация остается основным драйвером активности BlueNoroff, однако расширение целевого спектра и усложнение тактик свидетельствуют об эволюции их операционных возможностей.
Эксперты отмечают, что сочетание традиционных методов социальной инженерии с современными технологиями, включая ИИ, позволяет группе проводить более целенаправленные и разрушительные операции. Рекомендуется усилить осведомленность сотрудников о подобных угрозах, особенно при взаимодействии с незнакомцами в мессенджерах, и внедрить многофакторную аутентификацию для критически важных систем.
Индикаторы компрометации
