Gli hacker Lazarus hanno sfruttato LinkedIn per colpire un’azienda crypto

Il gruppo nordcoreano Lazarus è tornato e, ancora una volta, sta cercando di mettere le mani su quante più monete digitali possibile. Il famigerato team di hacker sembra aver escogitato una nuova campagna che ha preso di mira un’organizzazione crypto sfruttando LinkedIn e l’elemento umano delle società.

Lazarus è tornato con una nuova campagna di hacking

Secondo un recente rapporto pubblicato dai ricercatori di F-Secure, l’organizzazione crypto è stata recentemente presa di mira in quanto parte di una nuova massiccia campagna di hacking. La campagna avrebbe preso di mira aziende e organizzazioni in almeno 14 nazioni diverse.

Come accennato, gli hacker sono i Lazarus, il gruppo ritenuto responsabile di una serie di attacchi contro aziende crypto.

Gli hacker nordcoreani prendono di mira le criptovalute già da tempo ormai, poiché le monete digitali rendono relativamente facile aggirare le sanzioni economiche del Paese. Il gruppo stesso è attivo almeno dal 2007, secondo il governo degli Stati Uniti.

Da allora, ha messo a segno numerosi hack di alto profilo e ha condotto alcune campagne massicce, incluso l’attacco ransomware a livello globale avvenuto alcuni anni fa, noto come WannaCry.

Come funziona l’attacco?

La nuova campagna di Lazarus sembra essere basata sugli annunci di lavoro di LinkedIn, tramite i quali gli hacker prendono di mira gli amministratori di sistema. Fornirebbero agli amministratori un documento di phishing, che viene inviato al loro account LinkedIn personale. Il documento è correlato a un’azienda tecnologica blockchain che afferma di essere alla ricerca di un nuovo amministratore di sistema.

La vittima deve prima abilitare le macro, tuttavia, affinché il codice dannoso all’interno del documento sia efficace. Una volta concessa l’autorizzazione necessaria, il documento eseguirà un file chiamato mshta.exe e richiamerà un collegamento legato a VBScript.

Lo script esegue quindi controlli di sistema e invia i dati operativi al server C2, di proprietà degli hacker. Dopo aver infettato il dispositivo, gli hacker possono raccogliere le credenziali dal computer degli utenti e sembrano interessati a coloro che possiedono beni finanziari accessibili online, quindi principalmente crypto wallet e conti bancari.

F-Secure ha anche notato che Lazarus sta cercando di cancellare le tracce della sua attività e di essere il più furtivo possibile, sebbene alcune tracce della loro presenza possano ancora essere rintracciate dai ricercatori.