Группа Lazarus, известная своей связью с северокорейским правительством, продолжает совершенствовать методы атак на криптовалютные компании. Недавний инцидент с сотрудником BitMEX подтвердил, что хакеры по-прежнему полагаются на фишинг как на начальный этап проникновения, но их постэксплуатационные методы становятся всё более изощрёнными.
Описание
В ходе расследования выяснилось, что злоумышленники использовали вредоносный код, замаскированный под проект NFT-маркетплейса. После анализа репозитория на GitHub были обнаружены подозрительные вызовы функции eval, которые загружали и исполняли вредоносный скрипт с серверов, ранее связанных с Lazarus.
Особый интерес представляет утечка данных через Supabase - сервис, похожий на Firebase. Хакеры неверно настроили права доступа к базе, что позволило исследователям изучить логи заражённых устройств. В записях обнаружились IP-адреса, включая китайский резидентский адрес (223.104.144.97), что может указывать на ошибку операционной безопасности.
Анализ активности показал, что у группы есть чёткий график работы с перерывом с 8:00 до 13:00 UTC, что соответствует вечернему времени в Пхеньяне. Это подтверждает организованный характер их операций.
Исследование демонстрирует контраст между примитивными методами фишинга и сложными постэксплуатационными инструментами Lazarus. Утечка данных через Supabase не только раскрыла их методы слежения, но и предоставила ценные индикаторы компрометации для защиты будущих целей.
Индикаторы компрометации
