⁣⛓ Il Gruppo Lazarus Collegato alla Corea del Nord Utilizza il Malware macOS KandyKorn per Attaccare gli Ingegneri Blockchain

Nel mondo sempre più complesso e interconnesso della sicurezza informatica, il gruppo Lazarus APT, notoriamente associato alla Corea del Nord, ha messo in atto una nuova e audace campagna che ha come obiettivo gli ingegneri blockchain.

Secondo i report di Elastic Security Labs, il gruppo Lazarus ha adottato il malware macOS KandyKorn, dotato di sofisticate funzionalità, per condurre attacchi mirati contro questa comunità di esperti.

KandyKorn è stato descritto come un "impianto avanzato" con capacità che spaziano dal monitoraggio all'interazione, passando per l'elusione delle misure di rilevamento. Una delle caratteristiche più intriganti di questo malware è l'uso del "caricamento riflettente", una tecnica di esecuzione in memoria progettata per sfuggire all'individuazione da parte degli strumenti di sicurezza.

Gli autori delle minacce si sono fatti passare per membri della comunità di ingegneri blockchain, utilizzando un server Discord pubblico frequentato da professionisti del settore. Attraverso questa piattaforma, hanno cercato di convincere le vittime a scaricare un archivio ZIP, apparentemente relativo a uno strumento di arbitraggio nel mondo delle criptovalute. Tuttavia, all'interno dell'archivio si celava il malware macOS KandyKorn.

La sequenza degli attacchi è stata suddivisa in diverse fasi, ognuna delle quali svolgeva un ruolo specifico nel processo di compromissione. Queste fasi comprendevano il compromesso iniziale, il dropper, il caricamento di payload, il loader e infine il carico utile effettivo.

Un aspetto significativo di questa campagna è il suo obiettivo finanziario. Il gruppo Lazarus sembra aver mirato alle organizzazioni del settore delle criptovalute con l'obiettivo di rubare criptovaluta. Questo sarebbe parte di uno sforzo più ampio per aggirare le sanzioni internazionali e finanziare le operazioni militari del regime nordcoreano.