Северокорейские хакеры создали трейдинг-бота, чтобы похитить деньги

В прошлом году северокорейская хакерская команда Lazarus Group направила все свои силы, чтобы сломать несколько криптовалютых бирж, сообщает Chainalysis. Одна из атак предусматривала создание фейкового, но реалистического сайта трейдинг-бота, который предлагался работникам биржи DragonEx.

В марте 2019 года хакеры украли примерно $7 млн ​​в разных криптовалютах с сингапурской биржи DragonEx. Хотя это сравнительно небольшая сумма, хакеры приложили большие усилия, чтобы получить ее.

Группа применила сложную фишинг-атаку, во время которой создала реалистичное присутствие на сайте и в социальных сетях для фальшивой компании под названием WFC Proof. Также хакеры разработали Worldbit-бота, торгового бота, который тогда предлагался работникам DragonEx.

Скриншот поддельного сайта. Источник: Chainalysis

Хотя программное обеспечение якобы напоминало фактического трейдинг-бота, оно содержало вредоносное ПО, которое могло воровать данные из зараженного им компьютера. В конце концов программное обеспечение было установлено на машину, которая содержала личные ключи к горячему кошелька DragonEx, что позволило хакерам похитить крупную сумму денег.

Атака отличается своей специфической целью и выполнением. Кажется, хакеры очень хорошо разбираются в криптовалютах, даже размещают на своем сайте стандартное предупреждение, которое в этом случае звучит иронично, о том, что никто не может получить личные частные ключи через их сайт.

Быстрый вывод средств

Ранее группа была известна тем, что прятала украденные деньги в течение 18 месяцев и переводила их в наличные, как только шум вокруг кражи утихал.

В 2019 году они изменили свою стратегию, решив как можно быстрее менять деньги. Для этого Lazarus начал использовать кошельки с поддержкой CoinJoin для смешивания своих монет. Хакеры вывели в наличные большую часть денег за 60 дней после атаки, тогда как в 2018 году это вывод средств происходил практически в течение года после кражи.