Producătorul global de soluții de securitate informatică Bitdefender avertizează asupra unei campanii active desfășurate de gruparea Lazarus, asociată Coreei de Nord, care vizează organizații și folosește oferte false de angajare pe LinkedIn pentru a fura credențiale de acces și a distribui amenințări informatice.
LinkedIn este o platformă pentru profesioniști și cei aflați în căutarea unui loc de muncă, însă a devenit și un mediu prolific pentru infractorii cibernetici care profită de credibilitatea acestei rețele de socializare. De la oferte de muncă false și scheme complexe de înșelătorii, până la escrocherii și atacuri derulate de actori statali, rețeaua este exploatată pentru a manipula aspirațiile profesionale și încrederea utilizatorilor. Pentru a ilustra aceste riscuri, specialiștii în securitate informatică de la Bitdefender au analizat o tentativă eșuată de „recrutare” pe LinkedIn, în care atacatorii au făcut o greșeală: au contactat tocmai un cercetător Bitdefender, care le-a descoperit rapid planul fraudulos.
Cum funcționează atacul
Totul începe cu un mesaj atrăgător: o oportunitate de a colabora la o platformă de schimb de criptomonede descentralizată. Detaliile sunt vagi, însă promisiunea unui job flexibil, remote și bine plătit poate atrage victime ușor de păcălit. Versiuni similare ale acestei escrocherii au fost observate și în alte domenii, precum turismul sau finanțele.
Dacă victima își arată interesul, „procesul de recrutare” continuă cu solicitarea unui CV sau a unui link către un repository GitHub personal. Deși aceste cereri par inofensive, acestea pot fi folosite pentru a colecta informații personale sau pentru a face interacțiunea să pară legitimă.
Executarea amenințării informatice
După ce obține informațiile dorite, atacatorul trimite un set de fișiere ce conține așa-numitul „Minimum Viable Product” (MVP) al proiectului, împreună cu un document cu întrebări care pot fi rezolvate doar prin rularea unui demo. La prima vedere, codul pare inofensiv. Însă, o analiză mai atentă dezvăluie un script ascuns și dificil de descifrat, care încarcă și rulează dinamic cod periculos de pe un server extern.
Consecințele după infectare
Cercetătorii Bitdefender au descoperit o amenințare informatică de tip info-stealer, capabilă să infecteze Windows, macOS și Linux și să colecteze datele asociate unor game largi de portofele de criptomonede și extensii de browser. Odată activată, amenințarea informatică instalată pe sistem poate să întreprindă următoarele acțiuni:
- Fură fișiere importante din extensiile vizate ale browserului
- Colectează datele de autentificare stocate în browser
- Sustrage informațiile către un server controlat de atacatori
După compromiterea inițială, amenințarea informatică inițiază o serie de acțiuni suplimentare pentru a extinde atacul. Înregistrează apăsările de taste, monitorizează clipboard-ul și colectează informații despre sistem, inclusiv fișiere confidențiale și date de autentificare. De asemenea, menține o conexiune activă cu serverele atacatorilor, ceea ce le permite accesul neautorizat și sustragerea continuă a datelor.
În etapa finală, amenințarea informatică instalează componente suplimentare pentru a ocoli soluțiile de securitate și a comunica prin rețele anonime. Poate colecta informații despre dispozitiv, poate instala un backdoor pentru acces ulterior și, în unele cazuri, folosește resursele sistemului pentru a mina criptomonede.
Această campanie demonstrează complexitatea atacului, care combină multiple tehnici pentru a compromite atât utilizatorii obișnuiți, cât și organizațiile.
Cine se află în spatele atacului?
Analiza tacticilor și a codului periculos indică o amenințare derulată de un actor statal, cel mai probabil gruparea Lazarus (APT 38) din Coreea de Nord. Acești atacatori nu sunt motivați doar de furtul de date personale. Ei vizează persoane din industrii critice – aviație, apărare, energie nucleară – pentru a obține acces la informații clasificate, secrete comerciale și date de acces ale companiilor. Într-un scenariu mai grav, rularea acestui malware pe un dispozitiv dintr-o rețea de companie ar putea compromite infrastructura întregii organizații. Gruparea Lazarus nu se limitează doar la escrocherii de recrutare. Au fost detectate tentative în care atacatorii se dau drept specialiști IT și aplică pentru joburi reale, după care infiltrează infrastructurile companiilor pentru a sustrage date sensibile.
Metode de protecție
Pe măsură ce platformele sociale devin tot mai frecvent folosite pentru activități periculoase, vigilența este esențială. Iată câteva semnale de alarmă și măsuri de protecție:
Semnale de alarmă:
- Descrieri vagi ale jobului – Lipsa unei postări oficiale pe platforma companiei.
- Repositories suspecte – Aparțin unor utilizatori cu nume aleatorii și nu conțin documentație sau contribuții relevante.
- Comunicare slabă – Greșeli frecvente de scriere și refuzul de a oferi metode alternative de contact, cum ar fi e-mailul de companie sau numere de telefon.
Cele mai bune practici:
- Nu rulați cod neverificat – Folosiți mașini virtuale, sandbox-uri sau platforme online pentru a testa codul în siguranță.
- Verificați autenticitatea – Comparați ofertele de muncă cu cele de pe site-urile oficiale ale companiilor și verificați domeniile e-mailurilor.
- Fiți precauți – Analizați cu atenție mesajele nesolicitate și cererile de informații personale.
Ideal ar fi să nu executați niciodată cod sursă necunoscut pe dispozitivele de serviciu și să folosiți medii virtuale sau sandbox-uri atunci când testați astfel de coduri pe computerul personal. Chiar dacă acest lucru presupune un efort suplimentar, poate preveni scurgeri de date și utilizarea acestora în scopuri periculoase.
Protecție completă pentru toate dispozitivele
Soluțiile de securitate Bitdefender oferă protecție avansată împotriva tuturor tipurilor de amenințări cibernetice, inclusiv viruși, malware, spyware, ransomware și atacuri sofisticate de phishing.
Pentru a combate escrocheriile online, Bitdefender pune la dispoziție Scamio, un serviciu de detectare a fraudelor bazat pe inteligență artificială. Utilizatorii pot verifica gratuit mesaje, linkuri, coduri QR sau imagini, iar Scamio analizează conținutul pentru a determina dacă face parte dintr-o înșelătorie. Scamio este disponibil gratuit pe Facebook Messenger, WhatsApp, Discord și în browser. De asemenea, utilizatorii pot folosi Link Checker, un instrument gratuit care ajută la verificarea siguranței linkurilor și protejează astfel dispozitivele, datele și identitatea împotriva atacurilor cibernetice.
