Kiberdrošības pētnieks iefiltrējies Ziemeļkorejas hakeru sistēmās un atklājis mērogojusies uzbrukumus
Grieķijas pētnieks 22 mēnešus pavadījis Ziemeļkorejas hakeru infrastruktūrā, atklājot, ka to darbība skārusi 1640 uzņēmumus 57 valstīs, tostarp simtiem ar nopietniem pārkāpumiem.
Grieķijas kiberdrošības pētnieks Vangelis Stykas gandrīz divus gadus pavadījis, strādājot Ziemeļkorejas hakeru grupējuma sistēmās, un tagad publiskojis satraucošus atklājumus. Viņš apgalvo, ka kopumā 1640 uzņēmumi 57 valstīs ir cietuši no šīs valsts hakeru operācijām. No tiem aptuveni 700 līdz 800 organizācijās bijuši "ļoti nopietni" ielaušanās gadījumi.
Stykas, kurš strādā par tehnoloģiju direktoru kiberdrošības uzņēmumā Kumio, saka, ka ieguvis piekļuvi vairākiem hakeru izmantotiem komandvadības serveriem. Dažos gadījumos hakeri paši sevi inficējuši ar savu ļaunprātīgo programmatūru, ļaujot pētniekam piekļūt arī viņu darbstacijām. Viņš apgalvo, ka redzējis hakeru Slack un Discord kanālus un kopumā iepazinies ar aptuveni 5 terabaitiem datu.
Pētnieks identificējis potenciālos cietušos, analizējot izstrādātāju atslēgas un programmkodu, un par incidentiem informējis skartās organizācijas. Black Hat drošības konferencē Lasvegasā viņš publiski nosaucis aptuveni duci uzņēmumu, tostarp Bostonas Bērnu slimnīcu, Japānas tehnoloģiju firmu AEON Smart Technology, Ķīnas telefona ražotāju Oppo, kriptovalūtas uzņēmumus Coinbase un Uniswap Labs, Itālijas Augstāko tiesu padomi, Saūda Arābijas bankas Al Rajhi Bank meitasuzņēmumu un Beļģijas Flandrijas valdības organizāciju Digitaal Vlaanderen.
Vairākas minētās institūcijas atzinušas incidentu. Japānas CERT apstiprinājusi pētnieka atklājumus un sadarbojusies ar AEON. Flandrijas valdība norādījusi, ka pēc paziņojuma izolējusi skarto darbstaciju un atcēlusi iespējami atklātās piekļuves. Bostonas Bērnu slimnīca skaidro, ka incidents skāris bijušā ārštata darbinieka personīgo ierīci, nevis slimnīcas sistēmas. Coinbase savukārt paziņojusi, ka pārbaudījusi darbuzņēmēju, kurš atradies ASV, un nav atradusi pierādījumus saistībai ar Ziemeļkoreju, tomēr atzina iespējamus riskus un līgumu ar viņu pārtraukusi.
Uzbrukumu pamatā bijusi vienkārša un labi zināma metode — viltoti darba piedāvājumi programmatūras izstrādātājiem. Upuriem likts lejupielādēt programmu, kas klusi instalē ļaunprātīgu kodu. Šī metode, pazīstama kā Contagious Interview, Microsoft dati liecina, ka izmantota kopš 2022. gada. Stykas norāda, ka dažiem ārštata darbiniekiem bijusi piekļuve pat 30 uzņēmumiem, tādējādi būtiski paplašinot uzbrukuma iespējamo ietekmi.
Kiberdrošības pētnieks Markuss Hačinss, kurš sekojis līdzi līdzīgām kampaņām, brīdina, ka, lai arī hakeri galvenokārt koncentrējas uz kriptovalūtu maka iegūšanu, saglabājas risks, ka citas Ziemeļkorejas grupas varētu izmantot jau iegūto piekļuvi. Stykas uzsver, ka lielākās bažas ir par nenosauktajiem uzņēmumiem, tostarp simtiem, kuri nekad nav atbildējuši uz viņa brīdinājumiem. "Viņi ir šeit, viņi mūs nepārtraukti hako," viņš saka.
