Noord-Koreaanse hackers richten zich op crypto-industrie met nieuwe geavanceerde malware: SentinelLabs waarschuwt

Noord-Koreaanse hackers hebben de crypto-industrie opnieuw als doelwit gekozen, zo meldt SentinelLabs, een toonaangevend cyberbeveiligingsbedrijf. De hackers, gelinkt aan de beruchte Lazarus-groep, hebben een complexe, meerfasige malware ontwikkeld, specifiek gericht op macOS-systemen. Deze malware, aangeduid als ‘Hidden Risk’, maakt gebruik van geavanceerde technieken zoals ondertekende en notariële code om de beveiliging te omzeilen en langdurige toegang te behouden.

Campagne begon in juli 2024

Volgens SentinelLabs begon de campagne vermoedelijk in juli 2024 en zet phishing-instrumenten in om slachtoffers te lokken. Hackers sturen e-mails die crypto-gerelateerde PDF-bestanden bevatten, met titels als “Verborgen risico’s achter de stijging van Bitcoin” en “Nieuw tijdperk voor stablecoins.” Deze mails lijken afkomstig van bekende crypto-influencers of gebruiken namen uit andere sectoren, wat de geloofwaardigheid vergroot.

De FBI waarschuwde in september al voor de toenemende cyberdreiging uit Noord-Korea, gericht op werknemers in de decentrale financiële sector (DeFi). Het doel is om malware te installeren en bedrijfscryptocurrency te stelen. SentinelLabs noemt de huidige aanval ‘Hidden Risk’, een campagne waarbij een dropper-applicatie wordt ingezet die de Apple-beveiliging omzeilt via een Apple Developer ID. De kwaadaardige app, bekend als ‘Hidden Risk Behind New Surge of Bitcoin Price.app’, werd op 19 oktober 2024 ondertekend. Apple heeft deze handtekening inmiddels ingetrokken.

De malware maakt gebruik van het Zshenv-configuratiebestand van macOS, wat zorgt voor een krachtige vorm van persistentie zonder meldingen voor achtergrondactiviteiten. Dit maakt de aanval minder zichtbaar. De malware kan op zowel Intel- als M-serie Mac-apparaten draaien en voert een tweede fase uit na de initiële infectie.

Hackers imiteren vaak legitieme bedrijven

Hackers gebruiken een uitgebreid netwerk van IP-adressen en domeinen voor communicatie en controle. Vaak imiteren zij legitieme crypto- en fintechbedrijven om hun aanwezigheid minder verdacht te maken, wat bijdraagt aan een snelle identificatie door experts.

Ondanks de eenvoudige aanpak van phishing blijft deze methode effectief, aldus SentinelLabs. Het bedrijf roept macOS-gebruikers op waakzaam te zijn en hun beveiliging te versterken om zich beter te beschermen tegen de toenemende dreiging van Noord-Koreaanse cybercriminaliteit.