Эксперты по кибербезопасности обнаружили новую вредоносную программу OtterCookie, связанную с северокорейской группировкой Lazarus. Вредонос распространяется через фальшивые предложения о работе на LinkedIn и маскируется под легитимные задания для разработчиков.
Описание
Аналитик угроз Mauro Eldritch раскрыл детали атаки, используя песочницу ANY.RUN. В отличие от традиционных методов заражения, таких как пиратское ПО или заражённые USB-накопители, Lazarus применяет изощрённую социальную инженерию. Жертвам предлагают исправить "незначительный баг" в коде децентрализованного приложения (DApp), предоставляя доступ к чистому репозиторию на Bitbucket. Однако при запуске приложение намеренно вызывает ошибку, которая загружает и исполняет вредоносный код с удалённого API.
OtterCookie написан на обфусцированном JavaScript и нацелен на браузерные данные, macOS-ключи и криптокошельки, включая Solana и Exodus. Собранная информация отправляется на сервер в США через порт 1224, что соответствует шаблонам предыдущих атак Lazarus, таких как InvisibleFerret и Beavertail.
После кражи данных OtterCookie загружает следующий этап атаки - InvisibleFerret, кроссплатформенный троян, использующий легитимные инструменты вроде AnyDesk для сохранения доступа к системе.
Эксперты рекомендуют специалистам из IT, финансов и криптоиндустрии быть особенно осторожными с подозрительными предложениями о работе и тщательно проверять исходный код перед запуском.
Атака демонстрирует, как Lazarus продолжает совершенствовать свои методы, сочетая социальную инженерию с техническими уловками. Вредоносные кампании, такие как Contagious Interview или DevPopper, остаются серьёзной угрозой для профессионалов по всему миру.
Индикаторы компрометации
