Північнокорейська група Konni розгортає шкідливе програмне забезпечення, створене за допомогою ШІ, яке націлене на інженерів блокчейну

Джерело: CryptoNewsNet Оригінальна назва: Хакери Konni цілеспрямовано атакують блокчейн-інженерів за допомогою ШІ-шкідливого ПЗ Оригінальне посилання: Група хакерів з Північної Кореї Konni тепер цілеспрямовано атакує блокчейн-інженерів за допомогою шкідливого ПЗ, створеного штучним інтелектом. За повідомленнями, група хакерів використовує PowerShell-шкідливе ПЗ, згенероване ШІ, для цілеспрямованих атак на розробників та інженерів у галузі блокчейну.

Вважається, що група хакерів з Північної Кореї діє щонайменше з 2014 року і пов’язана з групами активності APT37 та Kimusky. Група націлюється на організації в Південній Кореї, Україні, Росії та кількох європейських країнах. За даними аналізу загроз, остання кампанія спрямована на регіон Азійсько-Тихоокеанського регіону.

Механізм атаки

Атака починається з того, що жертви отримують посилання у Discord, яке доставляє ZIP-архів із приманкою у вигляді PDF та шкідливий ярлик LNK. Ярлик запускає вбудований PowerShell-завантажувач, який витягує документ DOCX та архів CAB, що містить бекдор PowerShell, пакетні файли та виконуваний файл для обходу UAC.

Після запуску ярлика відкривається DOCX і виконує пакетний файл. Документ-приманка вказує, що хакери прагнуть зламати середовище розробки для отримання доступу до конфіденційних активів, включаючи інфраструктуру, облікові дані API, доступ до гаманців та цифрових активів.

Перший пакетний файл створює каталог для бекдору, тоді як другий створює щогодинне заплановане завдання, що імітує запуск OneDrive. Завдання зчитує PowerShell-скрипт, зашифрований XOR, розшифровує його для виконання у пам’яті та потім видаляє себе, щоб стерти сліди інфекції.

Розробка шкідливого ПЗ за допомогою ШІ

Бекдор PowerShell приховує своє походження, використовуючи арифметичне кодування рядків та динамічне відновлення рядків під час виконання. Дослідники виявили ознаки використання ШІ у розробці, а не традиційного створення шкідливого ПЗ, зокрема:

• Чітка та структурована документація на початку скрипта (незвично для шкідливого ПЗ)
• Чистий та модульний код
• Наявність заповнювачів коментарів, наприклад “# <-- ваш постійний UUID проекту”

Ці елементи часто зустрічаються у коді та навчальних матеріалах, створених за допомогою LLM, що свідчить про використання ШІ у розробці шкідливого ПЗ хакерами з Північної Кореї.

Виконання та командно-контроль

Перед виконанням шкідливе ПЗ виконує перевірки апаратного забезпечення, програмного забезпечення та активності користувача, щоб переконатися, що воно не працює у середовищах аналізу. Після активації на інфікованому пристрої шкідливе ПЗ періодично контактує з серверами командно-контроль (C2), щоб надсилати метадані хоста та опитувати їх у випадкові моменти. Якщо у C2 міститься код PowerShell, він виконується за допомогою фонових завдань.

Ці атаки можна віднести до групи загроз з Північної Кореї Konni, враховуючи схожість форматів запуску, імен приманок та структури ланцюга виконання з попередніми кампаніями. Дослідники з безпеки опублікували індикатори компрометації, щоб допомогти захисникам ідентифікувати та захиститися від цієї загрози.