Microsoft сообщила, что северокорейская хакерская группа BlueNoroff (компания отслеживает ее под названием Sapphire Sleet, а также группа известна как APT38, CageyChameleon и CryptoCore) создает новую инфраструктуру для предстоящих атак с использованием социальной инженерии в LinkedIn. Эксперты пишут, что в последние несколько недель хакеры создают новые сайты, замаскированные под порталы оценки навыков, то есть могут сменить тактику.
BlueNoroff – финансово мотивированная группа, которую многие эксперты считают филиалом небезызвестной Lazarus. Эта хак-группа часто атакует сотрудников криптовалютных компаний, с целью кражи криптовалюты. Так, выбрав объект для атаки и установив с ним контакт через LinkedIn, хакеры внедряют бэкдор в систему жертвы, распространяя малварь через вредоносные документы, которые жертвы обычно получают через личные сообщения в разных социальных сетях.
«Группировка, которую Microsoft отслеживает как Sapphire Sleet, известная кражей криптовалюты с помощью социальной инженерии, в последние несколько недель создает новые сайты, маскирующиеся под порталы оценки навыков, что свидетельствует об изменении тактики этих хакеров, — сообщают эксперты Microsoft Threat Intelligence. — Sapphire Sleet обычно находит цели на таких платформах, как LinkedIn и использует приманки, связанные с оценкой профессиональных навыков. После этого злоумышленники переносят общение с целями на другие платформы».
Отмечается, что ранее хакеры распространяли вредоносные вложения напрямую или использовали ссылки на страницы, размещенные на легитимных сайтах, таких как GitHub. Однако в Microsoft полагают, что быстрое обнаружение и удаление вредоносных файлов с таких ресурсов побудило BlueNoroff создавать собственные сайты, где можно размещать вредоносные полезные нагрузки без рисков.
Подчеркивается, что такие сайты защищены паролем, чтобы помешать анализу, и маскируются под порталы оценки профессиональных навыков, предлагая потенциальным соискателям зарегистрировать учетную запись.
