Hacker der Lazarus-Gruppe zielen über LinkedIn auf Krypto-Investoren ab
Hacker nutzen LinkedIn
Nordkoreanische Hacker der Lazarus Group führen eine groß angelegte Kampagne mit betrügerischen Stellenanzeigen auf LinkedIn durch. Sie stehlen die Browser-Anmeldedaten von Arbeitssuchenden, hacken Kryptowährungs-Wallets und verschaffen sich dauerhaften Zugang zu infizierten Geräten.
Laut BitDefender Labs kontaktieren die Angreifer ihre Opfer mit gefälschten Jobangeboten über LinkedIn und verleiten sie dazu, einen bösartigen JavaScript-Stealer von einem Remote-Server herunterzuladen und auszuführen.
"Unsere Forscher fanden heraus, dass es sich bei der Malware um einen plattformübergreifenden Stealer handelt, der unter Windows, macOS und Linux ausgeführt werden kann", so BitDefender in einem Blogpost.
Die Malware ist so konzipiert, dass sie auf beliebte Kryptowährungs-Wallets abzielt, indem sie bestimmte Browser-Erweiterungen verfolgt, die mit Krypto-Assets verbunden sind.
Eine Analyse der Malware und der Angriffsmethoden ermöglichte es den Forschern, die Kampagne mit nordkoreanischen Hackern in Verbindung zu bringen, insbesondere mit APT38, die zuvor ähnliche Taktiken wie gefälschte Stellenanzeigen und betrügerische Bewerbungen verwendet haben.
Wie der Betrug funktioniert
Die betrügerische Masche beginnt mit einem verlockenden Jobangebot auf LinkedIn - der Mitarbeit an der Entwicklung einer dezentralen Kryptowährungsbörse. Sobald das Opfer sein Interesse bekundet hat, wird es aufgefordert, einen Lebenslauf oder einen GitHub-Link anzugeben, der wiederum für betrügerische Zwecke ausgenutzt werden kann. Die Angreifer teilen dann ein Repository, das ein "Minimum Viable Product" (MVP) eines gefälschten Krypto-Projekts enthält.
Die Opfer erhalten auch ein Dokument mit Fragen, die nur durch Ausführen des Demo-Codes aus dem Repository beantwortet werden können. Diese Aktion löst die Installation von Malware aus, was zu einer Infektion des Geräts führt.
LinkedIn- und Reddit-Nutzer haben bereits von ähnlichen Angriffen berichtet, bei denen Hacker sie aufforderten, ein bösartiges Repository zu klonen oder Fehler in dessen Code zu beheben. BitDefender warnt vor wichtigen Warnsignalen wie vagen Jobbeschreibungen, verdächtigen Repositories und schlechter Kommunikation, um zu verhindern, dass Nutzer Opfer dieser Betrügereien werden.
Unterdessen greifen nordkoreanische Hacker weiterhin Kryptowährungsbörsen an, während die USA und ihre Verbündeten Gegenmaßnahmen ergreifen.
