Киберпреступники из Lazarus Group атакуют криптоиндустрию через фишинговые предложения о работе

На протяжении последнего десятилетия Lazarus Group сосредоточила свои усилия на финансовых учреждениях и компаниях, связанных с цифровыми активами. Их тактика характеризуется гибридным подходом: первоначально широкий охват с последующим точным нацеливанием на организации с высокой стоимостью активов. Методы группы высокоадаптивны; в прошлом они даже атаковали исследователей безопасности с целью кражи неопубликованных уязвимостей.

Операция группировки включает несколько сложных векторов атак: целенаправленный фишинг через фальшивые предложения о работе и поддельные электронные письма, атаки через скомпрометированные посещаемые веб-сайты, поставку вредоносного кода в репозитории разработчиков и тщательно проработанную социальную инженерию, адаптированную под профиль конкретной жертвы.

Новая кампания обычно начинается на таких платформах, как LinkedIn, Telegram или X (ранее Twitter), где злоумышленники выдают себя за рекрутеров. Их цель - заставить жертву пройти фиктивный процесс собеседования, что в конечном итоге приводит к установке вредоносного ПО. Это программное обеспечение крадет учетные данные и пароли с устройств и из браузеров жертв, а затем опустошает их криптокошельки.

При атаках на технических специалистов злоумышленники просят жертву выполнить «тестовое задание по программированию», которое включает клонирование и запуск вредоносного кода. В недавних атаках даже использовалась уязвимость CVE-2025-48384. Для нетехнического персонала применяется иная тактика: атакующие имитируют технические проблемы, например, сообщают о «неисправности камеры», чтобы заставить жертву запустить вредоносный скрипт.

Кампания следует устоявшейся схеме: фальшивые предложения о работе, многоэтапные «собеседования» и последующее развертывание вредоносного ПО. В инцидентах, нацеленных на нетехнических сотрудников, злоумышленники используют LinkedIn и X для организации фиктивных собеседований. Используемые вредоносные файлы демонстрируют сильное сходство с образцами, обнаруженными в конце 2024 года в ходе кампаний мошеннического рекрутинга.

Атака разворачивается в три этапа. Сначала жертву заманивают сообщением в LinkedIn с фиктивным предложением о собеседовании. Затем жертву направляют на вредоносный веб-сайт, где ее просят заполнить несколько форм и ввести личную информацию, что отвлекает внимание и создает видимость легитимности. На этапе «видеособеседования» сайт сообщает об отсутствии драйвера камеры. Атакующие создают ощущение срочности с помощью всплывающих окон и инструктируют жертву выполнить команды в терминале.

На устройствах macOS жертв обманом заставляют выполнить команду, которая загружает и запускает скрипт cdrivMac.sh. Этот скрипт функционирует как загрузчик и инструмент обеспечения устойчивости. Он загружает ZIP-архив с одного из управляемых злоумышленниками доменов, распаковывает его и выполняет вредоносный код. Сценарий также создает файл LaunchAgent для обеспечения постоянного присутствия в системе, автоматически запуская вредоносный скрипт при каждой загрузке. Ключевые вредоносные компоненты включают скрипт cloud.sh для компиляции и выполнения кода на Go, а также замаскированное приложение ChAudioFixer.app, предназначенное для кражи паролей. Анализ кода, в частности файла config/constants.go, выявляет возможности по сбору системной информации, удаленному управлению файлами, а также краже файлов cookies, сохраненных паролей и данных криптокошельков.

Анализ показывает связь с предыдущими атаками Lazarus Group, включая использование тех же доменов, что и в инцидентах с отравлением пакетов npm, и продолжение использования сервисов вроде Dropbox для эксфильтрации данных, хотя в новых вариантах для конфигурации применяются URLComponents, чтобы избежать открытого exposing доменов в коммуникациях.

На системах Windows атакующие направляют жертв на выполнение конкретных команд через командную строку или PowerShell, что инициирует загрузку полезной нагрузки с вредоносного домена. Затем с помощью легитимных системных утилит (LOLbins), таких как wscript.exe, выполняется вредоносный скрипт. Загруженные и извлеченные файлы включают в себя переименованный исполняемый файл Python (замаскированный под csshost.exe) для обхода detection средствами безопасности, а также набор скриптов на Python, отвечающих за кражу данных и установление зашифрованного канала связи с сервером злоумышленников. Для обеспечения устойчивости скрипт добавляет себя в автозагрузку через реестр Windows.

При атаках на технических специалистов применяются более изощренные методы, включая отравление открытых npm-репозиториев, компрометацию частных репозиториев на GitHub и распространение zip-архивов со злонамеренным кодом. Злоумышленники также используют недавно раскрытую уязвимость CVE-2025-48384. Атака начинается с того, что злоумышленники, изучив резюме жертвы, инициируют фальшивое собеседование через Telegram под видом рекрутера. Под предлогом оценки понимания проектов компании жертву обманом заставляют клонировать вредоносный репозиторий с GitLab. В процессе клонирования эксплуатируется уязвимость, что приводит к выполнению вредоносного хука, который устанавливает бэкдор и затем заменяет весь проект на чистую версию, чтобы скрыть следы взлома.

Данный анализ демонстрирует, что Lazarus Group продолжает целенаправленно атаковать криптовалютный сектор с целью кражи средств. Ключевыми элементами атаки являются социальная инженерия под видом рекрутинга, последующая кража данных и криптоактивов, а также мощная и постоянно обновляемая инфраструктура, что указывает на существенное финансирование и долгосрочные планы группировки.

Критически важно для организаций и частных лиц никогда не запускать неизвестные файлы, независимо от операционной системы, с крайним скептицизмом относиться к непрошеным предложениям о работе, особенно связанным с выполнением тестовых заданий или проверок системы, и исходить из предположения о риске компрометации - вредоносное ПО может незаметно атаковать системы, приводя к утечке данных, финансовым кражам и иным последствиям. Безопасность начинается с бдительности и здорового скептицизма.