(1).png)
朝鮮黑客利用 NimDoor 惡意軟件發(fā)起了一場針對 Web3 和加密貨幣公司的復雜惡意軟件活動。
哨兵實驗室已識別先進的攻擊方法將社會工程學與復雜的編程技術(shù)相結(jié)合，以滲透 Mac 系統(tǒng)并竊取敏感信息。
朝鮮黑客通過虛假 Zoom 會議更新欺騙受害者
朝鮮攻擊者首先通過 Telegram 消息冒充已知聯(lián)系人，然后要求受害者通過 Calendly 日程安排頁面安排會議。受害者會收到電子郵件，邀請其下載看似合法的 Zoom 軟件更新，其中嵌入了偽造的 Zoom 會議鏈接。
攻擊者構(gòu)建包含惡意文件的域名，這些惡意文件偽裝成 Zoom 支持更新文件，其域名設(shè)計得與真實的 Zoom 會議 URL 相似。這些偽造域名包含諸如 support.us05web-zoom.forum 和 support.us05web-zoom.cloud 之類的變體，與用戶已知的真實 Zoom 網(wǎng)站域名非常相似。
這些攻擊程序有數(shù)千行空白來隱藏其目的，使其看起來比簡單的攻擊程序更大、更自然。這些程序中隱藏的攻擊代碼只有三行，用于從黑客運營的服務(wù)器下載并運行其他攻擊模塊。
SentinelLabs 的研究人員發(fā)現(xiàn)，同一攻擊者同時使用了多個域名，這表明這是一場大規(guī)模攻擊活動，影響了眾多受害者，每個受害者都使用了定制的網(wǎng)址。偽造的更新文件的拼寫錯誤，例如將“Zoom SDK 更新”寫成了“Zook SDK 更新”，更容易被安全研究人員檢測和追蹤。
一旦受害者執(zhí)行了欺騙性更新，惡意軟件就會加載一個合法的 Zoom 重定向 URL 和一個 HTML 文件。這會將初始感染偽裝成合法感染，同時在后臺秘密啟動主要攻擊組件。此舉旨在誤導受害者，使其誤以為他們已成功執(zhí)行了標準的軟件更新流程。
NimDoor 惡意軟件竊取密碼和個人數(shù)據(jù)
NimDoor 惡意軟件活動一旦成功感染受害計算機，就會使用兩條獨立的攻擊路徑。第一條路徑專注于從熱門應(yīng)用程序中竊取個人信息，包括密碼、瀏覽器數(shù)據(jù)和聊天記錄。第二條路徑則通過隱藏的后臺程序建立對受感染系統(tǒng)的長期訪問權(quán)限。
該惡意軟件針對多種網(wǎng)絡(luò)瀏覽器，包括 Google Chrome、Firefox、Microsoft Edge、Brave 和 Arc，復制存儲的密碼、瀏覽歷史記錄和已保存的登錄信息。它還會竊取 Mac 電腦內(nèi)置密碼管理系統(tǒng)中存儲的系統(tǒng)密碼，并復制顯示用戶運行過哪些程序的命令歷史記錄文件。
一個專門的組件專門針對 Telegram 消息數(shù)據(jù)，竊取加密聊天數(shù)據(jù)庫和解密密鑰，使攻擊者能夠離線閱讀私人對話。被竊取的 Telegram 信息包括加密消息文件以及解鎖和閱讀這些消息所需的特殊密鑰。
所有被盜信息都會被打包，并通過加密連接發(fā)送到攻擊者控制的服務(wù)器。惡意軟件會在受感染的計算機上創(chuàng)建隱藏文件夾，用于在傳輸前臨時存儲復制的數(shù)據(jù)，并使用偽裝成合法系統(tǒng)文件的名稱。
此次攻擊使用了包括 Nim 和 C++ 在內(nèi)的高級編程語言，許多安全程序都難以檢測到這些語言。該惡意軟件包含一些有助于其規(guī)避安全軟件檢測的功能，例如通過加密的網(wǎng)絡(luò)連接進行通信，以及使用看似合法的文件名和位置。
攻擊者設(shè)計了專門針對 Mac 電腦的惡意軟件，利用 Mac 的內(nèi)置功能來隱藏其活動并保持對受感染系統(tǒng)的持續(xù)訪問。
先進的持久性方法確保惡意軟件能夠存活
尼姆門malware即使在用戶重啟系統(tǒng)或嘗試刪除惡意軟件后，攻擊者仍能保持對受感染計算機的訪問。攻擊者使用了一種巧妙的方法，每當用戶嘗試終止或刪除惡意軟件時，它就會自動重新安裝。
當用戶嘗試停止惡意軟件進程或關(guān)閉計算機時，惡意軟件會捕獲這些終止信號，并立即將自身的備份寫入受感染系統(tǒng)的隱藏位置。這會導致嘗試刪除惡意軟件實際上會觸發(fā)其重新安裝過程。
該惡意軟件會創(chuàng)建虛假的系統(tǒng)文件，其名稱設(shè)計得看似合法，例如創(chuàng)建以 Google 服務(wù)命名的文件夾，但拼寫略有不同，用戶通常不會注意到。這些虛假文件會獲得自動啟動權(quán)限，導致惡意軟件在每次計算機啟動時運行。
一個關(guān)鍵組件充當輕量級監(jiān)控程序，每 30 秒向攻擊者服務(wù)器發(fā)送一次正在運行的程序的信息，并等待新的命令。這種監(jiān)控是通過看似無害的連接進行的，這些連接與正常的網(wǎng)絡(luò)流量類似。
該惡意軟件在完全激活之前還會有10分鐘的延遲，這有助于它避開那些會立即掃描可疑行為的安全軟件的檢測。這種延遲使得該惡意軟件看起來像一個需要一些時間才能啟動的正常程序。
這些持久化方法North Korean hackers這使得普通用戶很難徹底清除惡意軟件。此外，它通常需要專門的安全工具或?qū)I(yè)人員的協(xié)助才能徹底清除受感染的系統(tǒng)。
KEY 差異線：加密貨幣項目用來獲得媒體報道的秘密工具
贊
.png)
766
收藏
