Группа хакеров Konni атакует инженеров блокчейна с помощью вредоносного ПО, созданного на основе искусственного интеллекта.

Северокорейская группа хакеров Konni теперь нацелена на инженеров блокчейна, используя вредоносное ПО, сгенерированное с помощью искусственного интеллекта. Согласно сообщениям, группа хакеров использует вредоносное ПО PowerShell, созданное на основе ИИ, для атак на разработчиков и инженеров в индустрии блокчейна.

Считается, что эта северокорейская группа хакеров действует как минимум с 2014 года и связана с группами APT37 и Kimusky. Группа нацелена на организации, расположенные в Южной Корее, Украине, России и ряде других европейских стран. Согласно анализу образца вредоносного ПО, проведенному исследователями CheckPoint, последняя кампания этой северокорейской группы направлена на регион Азиатско-Тихоокеанского региона.

Северокорейская группа Konni использует вредоносное ПО, созданное на основе ИИ.

В отчете исследователи заявили, что вредоносное ПО было предоставлено пользователями, обнаружившими его в Японии, Индии и Австралии. Атака начинается с того, что жертва получает ссылку Discord, которая содержит ZIP-архив, включающий PDF-файл-приманку и вредоносный файл-ярлык LNK. Файл LNK запускает встроенный загрузчик PowerShell, который извлекает документ DOCX и архив CAB, содержащий бэкдор PowerShell, два пакетных файла и исполняемый файл для обхода UAC.

После запуска файла-ярлыка открывается документ DOCX и выполняется пакетный файл, входящий в архив. PDF-файл-приманка указывает на то, что хакер стремится скомпрометировать среду разработки, что может предоставить им доступ к конфиденциальным ресурсам, включая инфраструктуру, учетные данные API, доступ к кошелькам и, в конечном итоге, цифровые активы. Первый пакетный файл создает промежуточную директорию для бэкдора, а второй пакетный файл.

Кроме того, он также создает запланированную задачу, которая выполняется каждый час и имитирует задачу запуска OneDrive. Задача считывает зашифрованный скрипт PowerShell с диска и расшифровывает его для выполнения в памяти. После выполнения всех этих шагов он удаляет себя, чтобы скрыть следы заражения. Бэкдор PowerShell сильно маскирует свое происхождение, используя кодирование строк на основе арифметических операций, восстановление строк во время выполнения и выполнение конечной логики с помощью "Invoked-Expression".

Согласно исследователям, вредоносное ПО PowerShell указывает на использование разработки с помощью ИИ, а не на традиционно написанное вредоносное ПО. Доказательства этого включают четкую и структурированную документацию в верхней части скрипта, что очень необычно для разработки вредоносного ПО. Кроме того, он имеет чистую и модульную структуру, а также содержит комментарий "# <– your permanent project UUID" в файле. CheckPoint отметила, что эта формулировка указывает на код, сгенерированный LLM, северокорейскими хакерами.

Исследователи CheckPoint предоставили подробную информацию о вредоносном ПО.

Исследователи объяснили, что такая формулировка также указывает на то, что модель инструктирует пользователя о том, как настроить значение-заполнитель. Они отметили, что подобные комментарии часто встречаются в сценариях и учебных пособиях, созданных искусственным интеллектом. Перед выполнением вредоносное ПО проводит проверку аппаратного обеспечения, программного обеспечения и активности пользователя, чтобы убедиться, что оно не работает в средах анализа. После этого оно генерирует уникальный идентификатор хоста. Затем оно следует определенной последовательности действий.

После того, как бэкдор полностью активирован и запущен на зараженном устройстве, вредоносное ПО периодически связывается с сервером управления и контроля (C2) для отправки метаданных хоста и опрашивает сервер через случайные промежутки времени. Если на сервере C2 содержится код PowerShell, он преобразуется в блок сценария и выполняет свои действия с помощью фоновых задач. Компания CheckPoint отметила, что эти атаки, вероятно, связаны с группировкой Konni из Северной Кореи, исходя из более раннего формата загрузчика и названия приманки.

Кроме того, исследователи утверждают, что, помимо совпадения имен сценариев, существуют и другие общие элементы в структуре цепочки выполнения с предыдущими атаками. Исследователи также опубликовали индикаторы компрометации, связанные с этой недавней кампанией, чтобы помочь специалистам по безопасности распознавать случаи атак, осуществляемых группировкой Konni из Северной Кореи, и защищать свои активы.