Nordkoreanische Hacker nutzen gefälschte Vorstellungsgespräche, um Entwickler mit plattformübergreifender Malware zu infizieren

Nordkoreanische Bedrohungsakteure haben einen raffinierten Weg gefunden, Softwareentwickler ins Visier zu nehmen: gefälschte Vorstellungsgespräche. Diese heimtückische Methode zielt darauf ab, ahnungslose Arbeitssuchende in der Technologiebranche dazu zu verleiten, Malware herunterzuladen, die sowohl ihre Sicherheit als auch ihre Systeme gefährdet. Sicherheitsforscher haben diese Kampagne beobachtet, die als CL-STA-0240 verfolgt und als „Contagious Interview“ bekannt ist, bei der sich Hacker auf Jobplattformen als potenzielle Arbeitgeber ausgeben.

Diese Operation wurde durch einen Bericht der Unit 42 von Palo Alto Networks ans Licht gebracht. Sie wurde erstmals im November 2023 bekannt gegeben und enthüllte, dass Cyberkriminelle aktualisierte Versionen zweier Malware-Familien verwenden: BeaverTail und InvisibleFerret.

So läuft der Angriff ab

Der erste Kontaktpunkt erfolgt über Jobsuchplattformen, wo nordkoreanische Hacker, die sich als Personalvermittler ausgeben, mit Softwareentwicklern Kontakt aufnehmen. Sie arrangieren Online-Vorstellungsgespräche und gewinnen das Vertrauen ihrer Opfer, indem sie legitime Einstellungsverfahren imitieren. Während dieser sogenannten Interviews überzeugen die Hacker die Entwickler, etwas herunterzuladen, das sie als Programmieraufgaben oder anderes arbeitsbezogenes Material ausgeben. Ohne das Wissen des Opfers enthalten diese Downloads Schadsoftware.

Der Infektionsprozess beginnt mit dem BeaverTail-Downloader, einer Malware, die Informationen stiehlt und sowohl auf Windows- als auch auf macOS-Systeme abzielt. BeaverTail fungiert als Brücke für eine gefährlichere zweite Stufe der Malware: die InvisibleFerret-Hintertür, die auf der Programmiersprache Python basiert. Obwohl diese Operation öffentlich bekannt ist, deuten aktuelle Berichte darauf hin, dass die Hacker hinter dieser Kampagne weiterhin Erfolg haben, indem sie Entwickler dazu verleiten, unwissentlich Schadcode auszuführen.

Plattformübergreifende Malware ist der Albtraum eines Entwicklers

Eine eingehendere Analyse von Cybersicherheitsexperten wie Patrick Wardle und Group-IB zeigt, wie weitreichend diese Bedrohung ist. Diese Angreifer verwenden gefälschte Videokonferenzanwendungen – beispielsweise Nachahmungen von MiroTalk und FreeConference.com –, um Systeme zu infiltrieren. Diese gefälschten Anwendungen werden mit Qt entwickelt, einem beliebten Framework, das eine plattformübergreifende Kompilierung ermöglicht, darunter Windows und macOS.

Die Qt-basierte Version von BeaverTail ist nicht nur auf eine Funktion beschränkt. Sie kann Browser-Passwörter sowie Daten aus Kryptowährungs-Wallets stehlen, was sie besonders gefährlich macht. Sie exfiltriert Daten auf einen von Hackern kontrollierten Server und gibt Cyberkriminellen Zugriff auf vertrauliche persönliche und finanzielle Informationen.

Nachdem BeaverTail seinen Teil erledigt hat, installiert es InvisibleFerret, das zu weitaus zerstörerischeren Aktivitäten fähig ist. Diese Malware enthält zwei kritische Komponenten:

1. Eine Hauptnutzlast, die für die Fernsteuerung, das Keylogging, das Erstellen von Fingerabdrücken des infizierten Systems und sogar das Herunterladen von Remotedesktoptools konzipiert ist.
2. Ein Browser-Stealer , der Browser-Anmeldeinformationen wie Benutzernamen, Passwörter und sogar gespeicherte Kreditkarteninformationen extrahiert.

Finanzielle Motivation hinter den Angriffen

Nordkoreanische Bedrohungsakteure werden schon lange mit finanziell motivierten Cyberkriminalität in Verbindung gebracht und nutzen diese illegalen Gewinne häufig zur Unterstützung des Regimes. Unit 42 vermutet, dass diese spezielle Kampagne auch ein starkes finanzielles Motiv haben könnte, insbesondere angesichts der Fähigkeit der Malware, aus 13 verschiedenen Kryptowährungs-Wallets zu stehlen.

Durch den Einsatz von Tools, mit denen wertvolle Vermögenswerte wie Kryptowährung, Browser-Anmeldeinformationen und sogar Fernzugriffe abgeschöpft werden können, könnten die Hacker möglicherweise große Geldsummen abschöpfen. Finanziell motivierte Cyberangriffe wie dieser sind ein Eckpfeiler der Strategie Nordkoreas, internationale Sanktionen zu umgehen und seine Regierungsgeschäfte zu finanzieren.

So schützen Sie sich als Entwickler

Der Anstieg von Cyberangriffen über gefälschte Vorstellungsgespräche signalisiert einen beunruhigenden Wandel in der Art und Weise, wie Hacker Entwickler und die breitere Tech-Community ins Visier nehmen. Hier sind einige Schritte, um sicher zu bleiben:

• Überprüfen Sie die Personalvermittler : Überprüfen Sie immer die Identität von Personalvermittlern oder Arbeitgebern, die sich an Sie wenden. Eine einfache LinkedIn-Suche oder ein Besuch der offiziellen Website des Unternehmens können Ihnen dabei helfen, zu bestätigen, ob das Angebot echt ist.
• Seien Sie beim Downloaden vorsichtig : Laden Sie niemals Dateien aus einer nicht vertrauenswürdigen Quelle herunter, insbesondere wenn sie von einer Plattform oder Person stammen, die Sie nicht überprüft haben.
• Verwenden Sie strenge Sicherheitsmaßnahmen : Halten Sie Ihre Antiviren- und Malware-Erkennungssoftware auf dem neuesten Stand. Erwägen Sie die Verwendung verschlüsselter Kommunikation und Sandboxing-Tools, wenn Sie online mit unbekannten Entitäten interagieren.
• Überwachen Sie Krypto-Wallets : Wenn Sie mit Kryptowährungen zu tun haben, seien Sie besonders wachsam. Verwenden Sie Wallets mit starken Sicherheitsfunktionen und überwachen Sie Transaktionen genau auf verdächtige Aktivitäten.

Abschluss

Die Verwendung gefälschter Bewerbungsgespräche durch nordkoreanische Hacker zur Verbreitung von Malware ist eine erschreckende Erinnerung daran, wie kreativ und gefährlich Cyberkriminelle sein können. Da die Angriffe sowohl auf Windows- als auch auf macOS-Plattformen abzielen, ist niemand wirklich vor diesen Bedrohungen sicher. Insbesondere Entwickler sollten in höchster Alarmbereitschaft sein, da Hacker weiterhin den Bewerbungsprozess ausnutzen, um vertrauliche Daten und finanzielle Vermögenswerte zu stehlen. Informiert, wachsam und vorbereitet zu bleiben ist der Schlüssel zum Schutz in dieser neuen Ära der Cyberkriminalität.