Исследование кибербезопасности выявило масштабную операцию хакерской группы UNC3782, связанной с КНДР, которая с 2021 года проводила целевые фишинговые атаки на южкорейскую корпорацию Naver, а в конце 2022 года расширила деятельность на криптовалютную сферу. Аналитики обнаружили 19 уникальных электронных адресов и 1983 доменных имени, связанных с кампанией, при этом часть инфраструктуры остается активной до настоящего момента.
Описание
Группа UNC3782 демонстрирует тактики, схожие с ранее документированными у северокорейского APT43 (Kimsuky), что позволяет предположить возможную связь между этими коллективами. Изначально атаки были сфокусированы на создании сотен доменов-опечаток (typosquatting), имитирующих официальные ресурсы Naver Corp. Однако в конце 2022 года злоумышленники зарегистрировали тематические криптодомены, что свидетельствует о смене приоритетов.
Исследователи обнаружили операционные ошибки, допущенные группой при регистрации доменов. В данных WHOIS были найдены повторяющиеся имена, такие как "Tony Smith", и шаблонные email-адреса типа hostingerk1[@]hotmail.com и specialcnc05[@]gmail.com. Кроме того, присутствовали корейские имена "Kil Nyeon Kim" и "junseog son", что дополнительно указывает на происхождение группы.
Особый интерес представляют активные криптовалютные домены, включая nooxdao[.]net, nooxnft[.]net и unisockshub[.]com. Эти ресурсы маскируются под законные платформы NFT и криптовалют, предлагая пользователям "получить награды" за подключение кошельков. На самом деле сайты предназначены для краси секретных seed-фраз, что приводит к полному контролю над цифровыми аккаунтами.
Технический анализ выявил использование специализированных скриптов и серверной инфраструктуры. Например, домен jqueryservice.pro содержал открытый каталог с обфусцированным JavaScript-кодом и PHP-скриптами, настроенными для перехвата криптовалютных данных. В файле gpa.php обнаружены blockchain-адреса, включая 0xe2D4C648776ace65D8A745e06B5dD4338DBD152C, что подтверждает мотивацию финансовой выгоды.
Эксперты отмечают, что переход от корпоративного фишинга к криптовалютным атакам соответствует общей тенденции северокорейских хакерских групп, которые активно используют кражу цифровых активов для финансирования своих операций. Обнаруженная инфраструктура демонстрирует высокий уровень подготовки и адаптивности UNC3782.
В настоящее время часть доменов остается активной, представляя ongoing threat для пользователей криптобирж и NFT-платформ. Специалисты рекомендуют проявлять особую бдительность при подключении кошельков к неизвестным ресурсам и проверять подлинность сайтов через официальные каналы. Дальнейший анализ активности группы продолжается, при этом остается открытым вопрос о полной идентификации и возможном слиянии с другими APT-группами.
Индикаторы компрометации
