Основные сведения
- Компания Konni использовала сгенерированные искусственным интеллектом вредоносные программы PowerShell в своих криптомошенничествах, направленных на разработчиков блокчейна в АТР.
- Кампания поставляет бэкдоры через ZIP-файлы Discord с PDF-приманками и вредоносными ярлыками.
- Исследователи говорят, что комментарии и структура в стиле LLM убедительно свидетельствуют о разработке вредоносного ПО с помощью ИИ.
Хакеры Konni, связанные с Северной Кореей, начали кампанию с использованием вредоносного ПО, созданного на основе искусственного интеллекта, чтобы атаковать разработчиков и инженеров блокчейна, сообщают исследователи Check Point. Эта деятельность усиливает беспокойство по поводу мошенничества с криптовалютами и связанных с государством киберопераций, нацеленных на инфраструктуру цифровых активов. Кампания использует бэкдоры на базе PowerShell и приемы социальной инженерии, чтобы скомпрометировать среду разработки и получить доступ к конфиденциальным активам, связанным с криптовалютами.
Группа Konni, также известная под именем Opal Sleet и отслеживаемая как TA406, действует по меньшей мере с 2014 года. Исследователи считают, что эта группа поддерживает связи с другими северокорейскими кластерами угроз, включая APT37 и Kimsuky. Историческая активность показывает, что Konni атаковала организации в Южной Корее, России, Украине и нескольких европейских странах.
Кампания вредоносного ПО, созданного искусственным интеллектом, демонстрирует опасность криптовалютных мошенничеств, нацеленных на разработчиков
Атака криптомошенников начинается со ссылки в Discord, которая ведет на ZIP-архив, содержащий ложный PDF и вредоносный файл ярлыка Windows (LNK). Когда жертва открывает ярлык, он запускает встроенный загрузчик PowerShell. Загрузчик извлекает файл DOCX и архив кабинета, содержащий бэкдор PowerShell, два пакетных файла и исполняемый файл для обхода контроля учетных записей пользователей (UAC).
Ярлык открывает файл DOCX и запускает один из пакетных файлов, включенных в архив. Документ-обманка служит приманкой, предполагая попытку взлома среды разработки. Исследователи отметили, что такой доступ может раскрыть детали инфраструктуры, учетные данные API, доступ к кошельку и запасы криптовалюты.
Первый пакетный файл создает директорию для хранения бэкдора и сопутствующих компонентов. Второй пакетный файл создает запланированную задачу, которая запускается ежечасно и маскируется под задачу запуска OneDrive. Эта запланированная задача считывает с диска зашифрованный XOR-шифром сценарий PowerShell, расшифровывает его в памяти и выполняет. После выполнения вредоносная программа для криптомошенничества удаляет себя, чтобы устранить следы компрометации.
Доказательства показывают, что вредоносное ПО, созданное искусственным интеллектом, используется в криптовалютных мошенничествах
Исследователи Check Point сообщили, что бэкдор PowerShell демонстрирует явные признаки разработки с помощью искусственного интеллекта. В скрипте используются сложные методы декодирования, включая кодирование строк на основе арифметики, реконструкцию строк во время выполнения и выполнение через Invoke-Expression.
Кроме того, вредоносная программа содержит структурированную документацию и модульное расположение кода. Исследователи описали его как нетипичный для традиционных вредоносных программ, создаваемых вручную операторами криптовалютных мошенничеств.
Специальный комментарий в скрипте, “#
Перед выполнением своих основных функций вредоносная программа проверяет аппаратное и программное обеспечение, а также активность пользователей, чтобы обнаружить среду анализа. Затем она генерирует уникальный идентификатор хоста. В зависимости от уровня привилегий, доступного на взломанной системе, вредоносная программа следует различными путями.
Став активным, бэкдор периодически связывается со своим командно-контрольным (C2) сервером. Он отправляет основные метаданные хоста и опрашивает сервер через случайные промежутки времени. Если сервер возвращает код PowerShell, вредоносная программа преобразует ответ в блок сценария и выполняет его асинхронно, используя фоновые задания.
Атрибуция и индикаторы компромисса
Check Point приписал кампании Konni несколько совпадений с предыдущей деятельностью, связанной с криптовалютными мошенничествами. Исследователи отметили сходство в форматах пусковых установок, названиях файлов-приманок, некоторых соглашениях об именовании скриптов и структуре цепочек выполнения. Эти признаки также схожи с признаками предыдущих сил Konni, замеченных в ходе предыдущих кампаний.
Исследователи также опубликовали индикаторы компрометации, связанные с этой кампанией, чтобы помочь защитникам выявлять и устранять заражения. Эти признаки призваны помочь организациям защитить чувствительные системы, особенно те, которые связаны с развитием блокчейн и криптовалютной инфраструктуры.
