Tin tặc Triều Tiên triển khai phần mềm độc hại FERRET thông qua các cuộc phỏng vấn xin việc giả trên macOS
Những kẻ đe dọa đến từ Triều Tiên đứng sau chiến dịch Phỏng vấn lây nhiễm đã bị phát hiện phát tán một bộ sưu tập các loại phần mềm độc hại Apple macOS có tên gọi là FERRET như một phần của quá trình phỏng vấn xin việc.
Các nhà nghiên cứu Phil Stokes và Tom Hegel của SentinelOne cho biết trong một báo cáo mới: "Các mục tiêu thường được yêu cầu giao tiếp với người phỏng vấn thông qua một liên kết đưa ra thông báo lỗi và yêu cầu cài đặt hoặc cập nhật một số phần mềm bắt buộc như VCam hoặc CameraAccess cho các cuộc họp ảo" .
Contagious Interview, lần đầu tiên được phát hiện vào cuối năm 2023, là một nỗ lực liên tục của nhóm tin tặc nhằm phân phối phần mềm độc hại đến các mục tiêu tiềm năng thông qua các gói npm giả mạo và các ứng dụng gốc ngụy trang thành phần mềm hội nghị truyền hình. Nó cũng được theo dõi là DeceptiveDevelopment và DEV#POPPER.
Các chuỗi tấn công này được thiết kế để thả phần mềm độc hại dựa trên JavaScript có tên là BeaverTail, ngoài việc thu thập dữ liệu nhạy cảm từ trình duyệt web và ví tiền điện tử, phần mềm này còn có khả năng cung cấp cửa hậu Python có tên là InvisibleFerret.
Vào tháng 12 năm 2024, công ty an ninh mạng Nhật Bản NTT Security Holdings tiết lộ rằng phần mềm độc hại JavaScript cũng được cấu hình để tìm nạp và thực thi một phần mềm độc hại khác có tên là OtterCookie .
Việc phát hiện ra họ phần mềm độc hại FERRET, lần đầu tiên được phát hiện vào cuối năm 2024, cho thấy rằng những kẻ tấn công đang tích cực cải tiến chiến thuật để tránh bị phát hiện.
Điều này bao gồm việc áp dụng phương pháp theo kiểu ClickFix để lừa người dùng sao chép và thực thi lệnh độc hại trên hệ thống Apple macOS của họ thông qua ứng dụng Terminal nhằm giải quyết sự cố truy cập camera và micrô thông qua trình duyệt web.
Theo nhà nghiên cứu bảo mật Taylor Monahan, người có tên người dùng là @tayvano\_, các cuộc tấn công bắt nguồn từ việc kẻ tấn công tiếp cận mục tiêu trên LinkedIn bằng cách đóng giả là người tuyển dụng và thúc giục họ hoàn thành đánh giá video. Mục tiêu cuối cùng là thả một backdoor và stealer dựa trên Golang được thiết kế để rút cạn MetaMask Wallet của nạn nhân và chạy lệnh trên máy chủ.
Một số thành phần liên quan đến phần mềm độc hại có tên mã là FRIENDLYFERRET\_SECD, FROSTYFERRET\_UI và MULTI\_FROSTYFERRET\_CMDCODES. Theo Stokes, FROSTYFERRET\_UI ám chỉ đến tệp nhị phân giai đoạn đầu được phân phối trong các ứng dụng độc hại như ChromeUpdate và CameraAccess.
FRIENDLYFERRET\_SECD là tên được chỉ định cho backdoor Go giai đoạn hai "com.apple.secd" và nhị phân Mach-O x86-64 "growth" trước đó được phát hiện trong chiến dịch Hidden Risk nhắm vào các doanh nghiệp liên quan đến tiền điện tử. Mặt khác, MULTI\_FROSTYFERRET\_CMDCODES là tham chiếu đến tệp cấu hình Go cho backdoor giai đoạn hai.
SentinelOne cho biết họ cũng xác định được một tập hợp các hiện vật khác có tên là FlexibleFerret, đảm nhiệm việc thiết lập tính bền bỉ trên hệ thống macOS bị nhiễm thông qua LaunchAgent. Phần mềm độc hại được phát tán thông qua một gói có tên là InstallerAlert có chức năng tương tự như FROSTYFERRET\_UI.
Stokes cho biết trong khi các mẫu FlexibleFerret được cung cấp dưới dạng gói Apple Installer, hiện tại vẫn chưa biết kỹ thuật dụ nào được sử dụng để dụ mục tiêu chạy phần mềm độc hại. Tuy nhiên, có bằng chứng cho thấy phần mềm độc hại đang được phát tán bằng cách mở các vấn đề giả mạo trên kho lưu trữ GitHub hợp pháp, một lần nữa chỉ ra sự đa dạng hóa các phương pháp tấn công của chúng.
Các nhà nghiên cứu cho biết: "Điều này cho thấy kẻ tấn công rất vui khi mở rộng phạm vi phát tán phần mềm độc hại, không chỉ nhắm vào người tìm việc mà còn nhắm vào các nhà phát triển nói chung".
Việc tiết lộ này diễn ra vài ngày sau khi công ty bảo mật chuỗi cung ứng Socket nêu chi tiết một gói npm độc hại có tên là postcss-optimizer chứa phần mềm độc hại BeaverTail. Thư viện vẫn có thể tải xuống từ sổ đăng ký npm tính đến thời điểm viết bài.
Các nhà nghiên cứu bảo mật Kirill Boychenko và Peter van der Zee cho biết: "Bằng cách mạo danh thư viện postcss hợp pháp , có hơn 16 tỷ lượt tải xuống, kẻ tấn công muốn lây nhiễm hệ thống của các nhà phát triển bằng khả năng đánh cắp thông tin đăng nhập và đánh cắp dữ liệu trên các hệ thống Windows, macOS và Linux" .
Sự phát triển này cũng diễn ra sau khi phát hiện ra một chiến dịch mới do nhóm tin tặc APT37 (hay còn gọi là ScarCruft) liên kết với Triều Tiên phát động, liên quan đến việc phân phối các tài liệu có bẫy thông qua các chiến dịch lừa đảo để triển khai phần mềm độc hại RokRAT , cũng như phát tán chúng đến các mục tiêu khác qua các cuộc trò chuyện nhóm thông qua nền tảng K Messenger từ máy tính của người dùng bị xâm nhập.