Nordkoreanische Hacker zielen auf Krypto-Arbeiter mit gefälschten Vorstellungsgesprächen und neuer Malware

Eine neue nordkoreanische Hacking-Kampagne zielt mit gefälschten Jobangeboten auf Krypto-Experten ab, um leistungsstarke Malware zu verbreiten. Das Ziel: sensible Daten zu stehlen und Fernzugriff auf die Systeme der Opfer zu erhalten.

Die Malware, PylangGhost, kann Anmeldeinformationen von über 80 Browser-Erweiterungen abgreifen, darunter wichtige Krypto-Wallets und Passwort-Manager. Die meisten Opfer sind bisher Blockchain-Entwickler und Kryptoarbeiter in Indien.

Gefälschte Interviews, echter Schaden

Die Angreifer geben sich als Personalvermittler von bekannten Krypto-Unternehmen wie Coinbase, Uniswap und Robinhood aus. Sie kontaktieren potenzielle Opfer über Jobplattformen und E-Mails und bieten ihnen gefälschte Stellen an, um sie anzulocken. Nach einigem Hin und Her senden die “Anwerber” Links zu gefälschten Fähigkeitstests, die auf Websites gehostet werden, die legitim aussehen.

Sobald ein Kandidat den Test abgeschlossen hat, bitten die Hacker ihn, seine Webcam und sein Mikrofon für ein angebliches Videointerview zu aktivieren. An dieser Stelle wird es gefährlich. Die Hacker sagen den Opfern, dass sie ein Videotreiber-Update installieren müssen, damit das Interview ordnungsgemäß funktioniert. In Wirklichkeit laden sie jedoch PylangGhost herunter, einen Python-basierten Remote-Access-Trojaner.

Die Malware gibt Hackern die volle Kontrolle über den infizierten Rechner. Sie kann Dateien stehlen, Aktivitäten verfolgen und Anmeldeinformationen an die Befehlsserver der Angreifer zurücksenden. Passwörter, Brieftaschenschlüssel, Cookies. Alles ist zum Greifen nah.

Da Bedrohungen wie diese zunehmen, verwenden immer mehr Menschen die besten dezentralen Krypto-Wallets, um ihre Vermögenswerte offline oder in nicht-verwahrten Systemen zu speichern. Diese Wallets geben den Nutzern die volle Kontrolle über ihre Schlüssel und schützen sie so vor Angriffen aus der Ferne wie diesem.

Neuer Name, alte Tricks

Die Hackergruppe, die hinter dieser Kampagne steht, trägt den Namen “Famous Chollima”, ist aber in Cybercrime-Kreisen auch als “Wagemole” bekannt. Sie hat Verbindungen zu anderen nordkoreanischen Cyber-Gruppen wie Lazarus, die schon seit langem Krypto-Projekte ins Visier nehmen und digitale Vermögenswerte stehlen, wie z.B. bei dem Angriff auf Sony Pictures im Jahr 2014.

Cisco Talos, ein führendes Sicherheitsforschungsunternehmen, war das erste, das PylangGhost identifizierte. Laut ihrem Bericht ist die Malware ein Cousin des früheren GolangGhost-Trojaners. Während GolangGhost hauptsächlich macOS-Systeme angriff, zielt diese neue Version auf Windows-Rechner.

Die Tools und Methoden mögen sich weiterentwickeln, aber der Ansatz ist nicht neu. Nordkoreanische Akteure haben schon früher gefälschte Jobs und Scheinfirmen benutzt, um Malware einzuschleusen. Ende 2024 beschlagnahmten US-Beamte eine Domain, die mit einem Scheinunternehmen, BlockNovas LLC, verbunden war, das für eine ähnliche Art von Angriffen verwendet wurde. Auch in diesem Fall ging es um gefälschte Bewerbungsgespräche, Phishing-E-Mails und mit Malware verseuchte Dokumente.

Der Spielraum wird immer größer

Die Malware hat es nicht nur auf Browserdaten abgesehen. Sie kann Screenshots erstellen, Dateien verwalten, Systeminformationen sammeln und langfristigen Zugriff auf das Gerät des Opfers erhalten. Laut den Forschern können die Angreifer auf diese Weise nicht nur Geld stehlen, sondern auch Informationen über Krypto-Firmen und ihre Arbeitsweise sammeln.

Betrüger könnten diese Informationen für zukünftige Angriffe nutzen oder dabei helfen, andere falsche Bewerber bei echten Unternehmen unterzubringen. Im Mai gab die Kryptobörse Kraken bekannt, dass sie einen nordkoreanischen Agenten erwischt hat, der sich für einen Job im Tech-Bereich beworben hat. Der Agent fiel bei der Identitätsprüfung während des Einstellungsverfahrens durch, aber der Fall zeigte, wie weit diese Kampagnen gehen können.

Südkoreanische, japanische und US-amerikanische Behörden haben bestätigt, dass von Nordkorea unterstützte Gruppen allein in der ersten Hälfte des Jahres 2024 über 650 Millionen Dollar in Kryptowährungen gestohlen haben. Experten sagen, dass diese Zahl stark ansteigen könnte, wenn sich diese Betrügereien mit gefälschten Anstellungen weiter ausbreiten.

Forderungen nach strengeren Cyber-Kontrollen

Sicherheitsexperten sagen, dass es wichtig ist, diese Angriffe zu stoppen. In Indien, wo viele der jüngsten Opfer ihren Wohnsitz haben, drängen führende Vertreter der Technologie- und Sicherheitsbranche zum Handeln.

Dileep Kumar H V, Direktor beim Digital South Trust, sagte, die Regierung sollte Cybersicherheitsaudits für Blockchain-Unternehmen zur Pflicht machen. Außerdem forderte er eine bessere Überwachung von gefälschten Jobbörsen und eine stärkere Koordination mit globalen Agenturen.

CERT-In, die wichtigste Cyber-Agentur des Landes, wurde gebeten, öffentliche Warnungen herauszugeben, während der Gesetzgeber aufgefordert wurde, das IT-Gesetz zu verschärfen, um Staatsanwälten die Verfolgung grenzüberschreitender Verbrechen zu erleichtern.

Es ist klar, dass das Ziel nicht nur der Diebstahl ist, sondern der Zugang selbst. Diese Hacker versuchen, über die Menschen, die sie aufbauen und betreiben, in den Kryptobereich einzudringen. Und wenn Unternehmen und Mitarbeiter nicht wachsam bleiben, werden sie weitere Wege finden.

Bleiben Sie klug, bleiben Sie sicher

Die sicherste Verteidigung ist im Moment das Bewusstsein. Vertrauen Sie nicht auf zufällige Jobangebote, die aus dem Nichts kommen. Installieren Sie niemals Software während eines Vorstellungsgesprächs, und überprüfen Sie immer die Websites, die Sie besuchen müssen. Mit dem Wachstum der Krypto-Industrie wachsen auch die Risiken, die mit ihr verbunden sind.

Haftungsausschluss: Die in dieser Pressemitteilung oder diesem gesponserten Beitrag enthaltenen Informationen stellen keine Anlageberatung dar. Themarketperiodical und alle seine Autoren billigen keine Informationen über ein Unternehmen oder eine Person auf dieser Seite und werden dies auch nicht tun. Die Leser werden ermutigt, ihre eigenen Nachforschungen anzustellen und ihre Handlungen auf der Grundlage ihrer eigenen Erkenntnisse und nicht auf der Grundlage der in dieser Pressemitteilung oder diesem gesponserten Beitrag enthaltenen Inhalte zu tätigen. Themarketperiodical.com ist und wird nicht für Schäden oder Verluste verantwortlich sein, die direkt oder indirekt durch die Nutzung von Inhalten, Produkten oder Dienstleistungen verursacht werden, die in dieser Pressemitteilung oder diesem gesponserten Beitrag erwähnt werden.