Cisco Talos: Neue nordkoreanische Bedrohung ‚PylangGhost‘ zielt über gefälschte Jobseiten auf Krypto-Mitarbeiter ab

Cisco's Bedrohungsanalyseorganisation, Cisco Talos, hat eine neue Python-basierte Malware namens ‚PylangGhost‘ entdeckt. Diese wird mit der nordkoreanischen Hackergruppe Famous Chollima in Verbindung gebracht.

Laut einem aktuellen Blogpost von Cisco Talos wird PylangGhost ausschließlich von nordkorea-affiliierten Cyber-Bedrohungsakteuren genutzt, um die Hardware von Jobsuchenden zu infiltrieren, die nach Stellen in der Krypto-Branche suchen.

Bei PylangGhost handelt es sich um eine neue Art von Python-basiertem Remote-Access-Trojaner, der ähnlich funktioniert wie der bereits dokumentierte GolangGhost RAT, der von Cisco Talos im Dezember 2024 entdeckt wurde.

Jüngste Erkenntnisse des Cybersecurity-Unternehmens zeigen, dass die Hackergruppe Famous Chollima die Malware aktiv nutzt, um Windows-Systeme zu infiltrieren, während sie gleichzeitig eine Golang-basierte Version für MacOS-Nutzer einsetzt. Bisher deuten Open-Source-Daten darauf hin, dass die meisten Opfer der Malware in Indien ansässig sind.

Famous Chollima wird auch als „Wagemole“ bezeichnet, da die Gruppe wiederholt versucht, Passwörter zu stehlen, Krypto-Wallets zu infiltrieren und andere sensible Informationen über gefälschte Stellenangebote online zu erbeuten.

Wie fangen nordkoreanische Hacker ihre Opfer?

Laut dem Report lockt die Hackergruppe ihre Opfer durch gefälschte Jobinterview-Kampagnen mittels Social Engineering. Die Angreifer erstellen gefälschte Jobseiten, die große Krypto-Firmen wie Coinbase, Robinhood und Uniswap nachahmen.

Die Opfer werden dann aufgefordert, an mehreren Schritten teilzunehmen, die von gefälschten Personalvermittlern initiiert werden. Anschließend werden sie eingeladen, betrügerische Skill-Testing-Webseiten zu öffnen, auf denen ihre persönlichen Informationen gesammelt werden.

Bei der Vorbereitung auf das gefälschte Interview werden die Nutzer dann dazu verleitet, der Website Zugriff auf Kamera und Mikrofon zu gewähren. In dieser Phase bittet der gefälschte Personalvermittler sie, unter dem Vorwand der Installation aktualisierter Videotreiber bösartige Befehle zu kopieren und auszuführen.

Bei der Ausführung der Befehle kann die Malware deren Gerät infiltrieren. Der Befehl ermöglicht Fernzugriff auf das infizierte Gerät und gewährt den Angreifern Zugriff auf Cookies und Anmeldedaten von über 80 Browser-Erweiterungen.

Dazu zählen Zugriffe auf Passwortmanager und Krypto-Wallets wie MetaMask, 1Password, NordPass, Phantom, Bitski, Initia, TronLink und MultiverseX.

Wie bereits im April von Crypto berichtet, hat auch eine andere nordkoreanische Hackergruppe, Lazarus Group, ähnliche Methoden genutzt, um Nutzer zu ködern. Die Angreifer setzten gefälschte Stellenbewerbungen mit mindestens drei Malware-Varianten ein, die mit nordkoreanischen Cyber-Operationen in Verbindung stehen.

Übersetzt von GasF33s