ទង់ជាតិ deBridge ប៉ុនប៉ងវាយប្រហារដោយបន្លំ សង្ស័យថាក្រុម Lazarus

ពិធីការឆ្លងខ្សែសង្វាក់ និងក្រុមហ៊ុន Web3 បន្តត្រូវបានកំណត់គោលដៅដោយក្រុមអ្នកលួចចូល ខណៈដែល deBridge Finance បញ្ចេញការវាយប្រហារដែលបរាជ័យ ដែលតំណាងឱ្យក្រុមហេគឃ័រ Lazarus Group របស់ប្រទេសកូរ៉េខាងជើង។

បុគ្គលិករបស់ DeBridge Finance បានទទួលនូវអ្វីដែលមើលទៅដូចជាអ៊ីមែលធម្មតាមួយទៀតពីសហស្ថាបនិក Alex Smirnov នៅរសៀលថ្ងៃសុក្រ។ ឯកសារភ្ជាប់ដែលមានស្លាក "ការកែសម្រួលប្រាក់ខែថ្មី" ត្រូវបានចងភ្ជាប់ទៅនឹងការប្រាក់ដ៏គួរឱ្យភ្ញាក់ផ្អើល ជាមួយនឹងក្រុមហ៊ុនគ្រីបតូផ្សេងៗ បង្កើតការបញ្ឈប់បុគ្គលិក និងការកាត់ប្រាក់ខែ ក្នុងអំឡុងពេលរដូវរងារ cryptocurrency ដែលកំពុងបន្ត។

បុគ្គលិកមួយចំនួនតូចបានដាក់ទង់អ៊ីមែល និងឯកសារភ្ជាប់របស់វាថាគួរឱ្យសង្ស័យ ប៉ុន្តែបុគ្គលិកម្នាក់បានយកនុយនោះ ហើយទាញយកឯកសារ PDF ។ នេះនឹងបង្ហាញថាជាសំណាង ព្រោះក្រុម deBridge បានធ្វើការលើការវេចខ្ចប់វ៉ិចទ័រវាយប្រហារដែលបានផ្ញើពីអាសយដ្ឋានអ៊ីមែលក្លែងក្លាយដែលត្រូវបានរចនាឡើងដើម្បីឆ្លុះបញ្ចាំងពី Smirnov ។

សហស្ថាបនិកបានស្វែងយល់ពីភាពស្មុគ្រស្មាញនៃការប៉ុនប៉ងវាយប្រហារដោយបន្លំនៅក្នុងបណ្តាញ Twitter ដ៏វែងមួយដែលបានបង្ហោះកាលពីថ្ងៃសុក្រ ដោយដើរតួជាការប្រកាសសេវាកម្មសាធារណៈសម្រាប់សហគមន៍ cryptocurrency និង Web3 កាន់តែទូលំទូលាយ៖

1/ @deBridgeFinance ជាកម្មវត្ថុនៃការប៉ុនប៉ងវាយប្រហារតាមអ៊ីនធឺណិត ជាក់ស្តែងដោយក្រុម Lazarus ។

PSA សម្រាប់ក្រុមទាំងអស់នៅក្នុង Web3 យុទ្ធនាការនេះទំនងជារីករាលដាល។ pic.twitter.com/P5bxY46O6m

— deAlex (@AlexSmirnov__) ខែសីហា 5, 2022

ក្រុមការងាររបស់ Smirnov បានកត់សម្គាល់ថា ការវាយប្រហារនឹងមិនឆ្លងដល់អ្នកប្រើប្រាស់ macOS ទេ ព្រោះការព្យាយាមបើកតំណនៅលើ Mac នាំទៅរកឯកសារ zip ដែលមានឯកសារ PDF ធម្មតា Adjustments.pdf ។ ទោះយ៉ាងណាក៏ដោយ ប្រព័ន្ធដែលមានមូលដ្ឋានលើ Windows មានហានិភ័យដូច Smirnov បានពន្យល់ថា:

“វ៉ិចទ័រវាយប្រហារមានដូចខាងក្រោម៖ អ្នកប្រើប្រាស់បើកតំណពីអ៊ីមែល ទាញយក និងបើកប័ណ្ណសារ ព្យាយាមបើក PDF ប៉ុន្តែ PDF សុំលេខសម្ងាត់។ អ្នកប្រើប្រាស់បើក password.txt.lnk ហើយឆ្លងប្រព័ន្ធទាំងមូល។"

ឯកសារអត្ថបទធ្វើឱ្យខូច ដោយដំណើរការពាក្យបញ្ជា cmd.exe ដែលពិនិត្យប្រព័ន្ធសម្រាប់កម្មវិធីកម្ចាត់មេរោគ។ ប្រសិនបើប្រព័ន្ធមិនត្រូវបានការពារ ឯកសារព្យាបាទត្រូវបានរក្សាទុកក្នុងថត autostart ហើយចាប់ផ្តើមទំនាក់ទំនងជាមួយអ្នកវាយប្រហារដើម្បីទទួលបានការណែនាំ។

ពាក់ព័ន្ធ៖ 'គ្មាននរណាម្នាក់រារាំងពួកគេទេ' - ការគំរាមកំហែងការវាយប្រហារតាមអ៊ីនធឺណិតរបស់កូរ៉េខាងជើងកើនឡើង

ក្រុម deBridge បានអនុញ្ញាតឱ្យស្គ្រីបទទួលការណែនាំ ប៉ុន្តែបានចាត់ទុកជាមោឃៈនូវសមត្ថភាពក្នុងការប្រតិបត្តិពាក្យបញ្ជាណាមួយ។ នេះបង្ហាញថា កូដប្រមូលព័ត៌មានអំពីប្រព័ន្ធ ហើយនាំចេញវាទៅអ្នកវាយប្រហារ។ នៅក្រោមកាលៈទេសៈធម្មតា ពួក Hacker នឹងអាចដំណើរការកូដនៅលើម៉ាស៊ីនដែលមានមេរោគចាប់ពីចំណុចនេះតទៅ។

Smirnov ភ្ជាប់ ត្រលប់ទៅការស្រាវជ្រាវមុន ៗ លើការវាយប្រហារក្លែងបន្លំដែលធ្វើឡើងដោយ Lazarus Group ដែលប្រើឈ្មោះឯកសារដូចគ្នា៖

# ពាក្យសម្ងាត់គ្រោះថ្នាក់ (CryptoCore/CryptoMimic) #APT:
b52e3aaf1bd6e45d695db573abc886dc
ពាក្យសម្ងាត់.txt.lnk

www[.]googlesheet[.]info – រចនាសម្ព័ន្ធជាន់គ្នាជាមួយ @h2jazitweet ក៏ដូចជាយុទ្ធនាការមុនៗ។

d73e832c84c45c3faa9495b39833adb2
ការកែសម្រួលប្រាក់ខែថ្មី.pdf https://t.co/kDyGXvnFaz

— The Banshee Queen Strahdslayer (@cyberoverdrive) ខែកក្កដា 21, 2022

2022 បានឃើញ ក ការកើនឡើងនៃការលួចឆ្លងស្ពាន ដូចដែលបានគូសបញ្ជាក់ដោយក្រុមហ៊ុនវិភាគ blockchain Chainalysis ។ រូបិយប័ណ្ណគ្រីបតូដែលមានតម្លៃជាង 2 ពាន់លានដុល្លារត្រូវបានភៀសខ្លួននៅក្នុងការវាយប្រហារចំនួន 13 ផ្សេងគ្នាក្នុងឆ្នាំនេះ ដែលស្មើនឹងជិត 70% នៃមូលនិធិដែលត្រូវបានលួច។ ស្ពាន Ronin របស់ Axie Infinity គឺជាស្ពាន រង​គ្រោះ​ខ្លាំង​បំផុត​មក​ទល់​ពេល​នេះ។ការបាត់បង់ 612 លានដុល្លារទៅឱ្យពួក Hacker ក្នុងខែមីនាឆ្នាំ 2022 ។