Noordkoreanische Hacker zielen auf die Krypto-Industrie mit neuer, hochentwickelter Malware: SentinelLabs warnt

Nordkoreanische Hacker haben die Krypto-Industrie erneut ins Visier genommen, wie SentinelLabs, ein führendes Cybersicherheitsunternehmen, berichtet. Die Hacker, die mit der berüchtigten Lazarus-Gruppe in Verbindung stehen, haben eine komplexe, mehrstufige Malware entwickelt, die speziell auf macOS-Systeme abzielt. Diese Malware, genannt „Hidden Risk“, nutzt fortschrittliche Techniken wie signierten und notariellen Code, um Sicherheitsmechanismen zu umgehen und langfristigen Zugang zu erhalten.

Kampagne begann im Juli 2024

Laut SentinelLabs begann die Kampagne vermutlich im Juli 2024 und setzt Phishing-Tools ein, um Opfer anzulocken. Die Hacker versenden E-Mails mit kryptobezogenen PDF-Dateien, die Titel wie „Verborgene Risiken hinter dem Anstieg von Bitcoin“ und „Neues Zeitalter für Stablecoins“ tragen. Diese Mails scheinen von bekannten Krypto-Influencern zu stammen oder nutzen Namen aus anderen Bereichen, was ihre Glaubwürdigkeit erhöht.

Das FBI warnte bereits im September vor der zunehmenden Cyber-Bedrohung aus Nordkorea, die auf Mitarbeiter im dezentralen Finanzsektor (DeFi) abzielt. Ziel ist es, Malware zu installieren und Unternehmens-Kryptowährungen zu stehlen. SentinelLabs bezeichnet den aktuellen Angriff als „Hidden Risk“, eine Kampagne, bei der eine Dropper-Anwendung eingesetzt wird, die die Apple-Sicherheit mit einer Apple Developer ID umgeht. Die bösartige App, bekannt als „Hidden Risk Behind New Surge of Bitcoin Price.app“, wurde am 19. Oktober 2024 signiert. Apple hat diese Signatur mittlerweile widerrufen.

Die Malware nutzt die Zshenv-Konfigurationsdatei von macOS, was eine mächtige Form der Persistenz ohne Benachrichtigungen für Hintergrundaktivitäten ermöglicht. Dies macht den Angriff weniger sichtbar. Die Malware kann sowohl auf Intel- als auch auf M-Serie-Mac-Geräten ausgeführt werden und startet eine zweite Phase nach der anfänglichen Infektion.

Hacker imitieren oft legitime Unternehmen

Hacker nutzen ein umfangreiches Netzwerk von IP-Adressen und Domains für Kommunikation und Kontrolle. Oft imitieren sie legitime Krypto- und Fintech-Unternehmen, um ihre Präsenz weniger verdächtig erscheinen zu lassen, was zur schnellen Identifizierung durch Experten beiträgt.

Trotz der einfachen Phishing-Methode bleibt diese Methode effektiv, so SentinelLabs. Das Unternehmen fordert macOS-Nutzer auf, wachsam zu sein und ihre Sicherheitsvorkehrungen zu verstärken, um sich besser gegen die zunehmende Bedrohung durch nordkoreanische Cyberkriminalität zu schützen.