블록체인 산업은 지난해 암호화폐 시장이 63% 급감하면서 자금 유출을 겪었다. 그러나 투자자들은 반쯤 구운 동전과 과장된 NFT로 인해 돈을 잃은 것이 아닙니다.
오늘 발표된 보고서에서 Proofpoint의 연구원들은 북한의 지원을 받는 해커들이 어떻게 2022년에 10억 달러 이상의 암호화폐 및 기타 블록체인 자산을 빼돌렸는지 자세히 설명했습니다(해당 자산이 얼마나 침체되었는지를 고려하면 더욱 인상적입니다).
Proofpoint는 TA444 그룹 및 관련 클러스터(APT38, Bluenoroff, BlackAlicanto, Stardust Chollima 및 Copernicium으로 다양하게 불림)의 성공을 스타트업과 같은 접근 방식 덕분이라고 생각했습니다.
연구원들은 “신속한 반복, 즉석에서 제품 테스트 및 실패”가 특징이라고 말했습니다. 이 그룹은 새로운 침입 방법을 정기적으로 실험하고 최근 몇 년 동안 다양하고 더 나은 맬웨어를 순환했습니다.
저자는 “그룹의 작업 공간에 탁구대나 과대평가된 IPA 통이 있는지는 알 수 없지만 TA444는 달러와 그라인드에 대한 헌신에서 스타트업 문화를 반영합니다.”라고 썼습니다.
TA444의 진화하는 위협
TA444에는 “빠르게 움직이고 파괴하는 것”이라는 요소가 있습니다.
최근 몇 년 동안 이 그룹은 사회 공학 전술을 여러 번 반복했습니다. 때로는 합법적인 회사 대표의 하이재킹된 LinkedIn 계정에서 개인 메시지를 보냈고, 스팸 필터를 우회하기 위해 이메일 마케팅 도구를 남용한 경우도 있었습니다. 영어뿐만 아니라 일본어, 폴란드어, 스페인어로도 피해자들과 교류했습니다.
한 특이한 사례에서는 오타가 가득한 피싱 미끼를 사용하여 미국 의료, 교육, 금융 및 정부 부문의 조직을 이메일로 폭파했습니다. 기껏해야 그들의 미끼는 업계의 특정 브랜드 이름을 언급하고 때로는 급여 인상이나 일자리 기회를 약속했지만 여기서의 노력은 주로 초보적이었습니다.
다른 사이버 범죄 그룹이 사회적 미끼와 전달 메커니즘을 완성하는 데 집중할 수 있는 반면 연구원들은 맬웨어 생성이 TA444가 진정으로 자신을 구별하는 곳이라고 설명했습니다.
악용 후 백도어 컬렉션에는 msoRAT 자격 증명 도용자, SWIFT 자금 세탁 프레임워크 DYEPACK, 대상 시스템에서 데이터를 수신하고 처리하기 위한 다양한 수동 백도어 및 가상 “리스너”가 포함됩니다.
보고서에 따르면 “이는 TA444 운영자와 함께 임베디드 또는 최소한 전용 악성 코드 개발 요소가 있음을 시사합니다.”
북한: The OG Crypto Bro
북한 정부는 부실한 명령 경제를 보완하기 위해 오랫동안 자금 조달을 위해 해커를 사용하여 금전적 기회가 있는 곳이면 어디든지 겨냥했습니다. 여기에는 미국의 소매업체에서 SWIFT 은행 시스템에 이르기까지 모든 것이 포함되며, 한 악명 높은 경우에는 전 세계가 포함됩니다.
암호 화폐 회사는 절도에 대한 보호 장치를 거의 제공하지 않기 때문에 거래는 일반적으로 취소할 수 없으며 이러한 거래의 당사자를 식별하기 어렵기 때문에 업계는 금전적 동기가 있는 사이버 범죄로 가득 차 있습니다. 북한은 신생 기업, 동전을 채굴하는 봇넷, 암호 지불을 요구하는 랜섬웨어 캠페인에 대한 캠페인을 통해 수년 동안 이 우물에 잠겼습니다.
그러나 작년에 도난 규모는 새로운 수준에 도달했습니다. 블록체인 연구 회사인 Chainalysis는 국가가 2021년에 약 4억 달러의 암호화폐 및 블록체인 자산을 훔쳤다고 평가했습니다. 2022년에는 SkyMavis라는 블록체인 게임 회사에 대한 단일 공격으로 이 수치를 능가했습니다. 시각. 1년 내내 다른 공격을 추가하면 총 공격 횟수가 10자리에 이릅니다.
연구원들은 “광범위한 캠페인과 클러스터링의 용이성을 비웃을 수 있지만 TA444는 기민하고 유능한 적입니다.”라고 경고했습니다.
Proofpoint의 보고서는 새로운 프로세스나 파일에서 MSHTA, VBS, Powershell 및 기타 스크립팅 언어 실행을 모니터링하면 TA444 활동을 감지하는 데 도움이 될 수 있다고 언급했습니다. 또한 TA444 침입에 대처하기 위한 심층 방어 접근 방식에 대한 모범 사례를 사용할 것을 권장했습니다. 네트워크 보안 모니터링 도구 사용, 강력한 로깅 사례 사용, 우수한 엔드포인트 솔루션, 이메일 모니터링 어플라이언스, 직원 교육 WhatsApp 또는 LinkedIn의 접촉에서 비롯된 강도 활동.
“또한 우리가 관찰한 자격 증명 피싱 캠페인 활동을 고려할 때 외부에서 액세스할 수 있는 모든 서비스에서 MFA 인증을 활성화하면 자격 증명이 결국 도난당하는 영향을 제한하는 데 도움이 될 것입니다.”라고 연구원들은 이메일을 통해 말했습니다.
