Зеркало

Северокорейские фрилансеры снова разыграли сцену с трудоустройством, но в этот раз ИБ-специалисты обвели их вокруг пальца.

В BCA LTD, NorthScan и ANY RUN провели эксперимент, в рамках которого хакеры осуществляли свою кампанию в контролируемой виртуальной машине, думая, что это компьютеры разработчиков.

В ходе нападений хакеры использовали инструменты для автоматической подачи заявок и ответов на сообщения. Они не эксплуатировали сложное вредоносное ПО, а целились на кражу учётных данных и долговременный доступ к системам.

Для обхода двухфакторной аутентификации фрилансеры использовали программы генерации одноразовых кодов, а удалённое управление осуществлялось через Google Remote Desktop, настроенную с помощью PowerShell и защищённую постоянным PIN-кодом.

Данные проходили через VPN Astrill, который ранее уже был связан с группой Lazarus. Во время одной из сессий атакующий оставил в блокноте просьбу загрузить удостоверения личности, номера соцстрахования и банковские реквизиты.

НеКасперский