İşveren olarak poz veren Kuzey Koreli hacker grubu Lazarus üyeleri, kötü amaçlı yazılım içeren şifre yönetimi ürünleri için kodlama test projesi ile Python geliştiricilerini yemiyorlar.
Saldırılar, ilk olarak Ağustos 2023'te tespit edilen 'VMConnect kampanyasının' bir parçasıdır ve burada tehdit aktörleri PYPI deposuna yüklenen kötü niyetli python paketleri olan yazılım geliştiricilerini hedefliyor.
Bir yıldan uzun bir süredir kampanyayı izleyen ReversingLabs'ın bir raporuna göre, Lazarus Hacker'ları GitHub'da kötü amaçlı kodlama projelerine ev sahipliği yapıyor, burada kurbanlar testin nasıl tamamlanacağına dair talimatlarla ReadMe dosyalarını buluyor.
Talimatlar, tüm sürece ve bir aciliyet duygusuna bir duyu profesyonelliği ve meşruiyet sağlamak içindir.
ReversingLabs, Kuzey Korelilerin Capital One gibi büyük ABD bankalarını iş adaylarını çekmek için taklit ettiklerini ve muhtemelen onlara cazip bir istihdam paketi sunduğunu buldu.
Kurbanlardan birinden alınan daha fazla kanıt, Lazarus'un grup için belgelenmiş bir taktik olan LinkedIn üzerindeki hedeflerine aktif olarak yaklaştığını gösteriyor.
Bilgisayar korsanları adayları bir şifre yöneticisi uygulamasında bir hata bulmaya, düzeltmelerini göndermeye ve çalışmalarının kanıtı olarak bir ekran görüntüsünü paylaşmaya yönlendirir.
Proje için ReadMe dosyası, kurbana önce sistemlerinde kötü amaçlı şifre yöneticisi uygulamasını ('Passosmanager.py') yürütmesini ve ardından hataları aramaya ve düzeltmeye başlaması talimatını verir.
Bu dosya, 'pyperclip' ve 'pirebase' kitaplıklarının __init__.py 'dosyalarında gizlenmiş bir baz64 gizlenmiş modülün yürütülmesini tetikler.
Gizli Dize, bir komut ve kontrol (C2) sunucusuyla iletişim kuran ve komutları bekleyen bir kötü amaçlı yazılım indiricisidir. Ek yükler getirme ve çalıştırma, yetenekleri dahilindedir.
Adayların proje dosyalarını kötü amaçlı veya gizlenmiş kod için kontrol etmeyeceğinden emin olmak için, ReadMe dosyası hızlı bir şekilde tamamlanmasını gerektirir: projeyi oluşturmak için beş dakika, düzeltmeyi uygulamak için 15 dakika ve geri göndermek için 10 dakika nihai sonuç.
Bu, geliştiricinin Python projeleri ve GitHub ile çalışma konusundaki uzmanlığını kanıtlaması gerekiyordu, ancak amaç, kurbanın kötü amaçlı kodu ortaya çıkarabilecek güvenlik kontrollerini atlamasını sağlamaktır.
ReversingLabs, kampanyanın 31 Temmuz'da hala aktif olduğuna dair kanıt buldu ve bunun devam ettiğine inanıyor.
İş başvurusu alan yazılım geliştiricileri, LinkedIn veya başka yerlerde kullanıcılardan davet ediyorlar, aldatma olasılığı konusunda dikkatli olmalı ve kendileriyle temasa geçen profillerin sahte olabileceğini göz önünde bulundurmalıdır.
Ödevi almadan önce, diğer kişinin kimliğini doğrulamaya çalışın ve şirketle bağımsız olarak bir işe alım turunun devam ettiğini onaylayın.
Verilen kodu taramak veya dikkatlice incelemek ve yalnızca sanal makineler veya kum havuzu uygulamaları gibi güvenli ortamlarda yürütmek için zaman ayırın.
Google kimlik bilgilerini çalmak için kötü amaçlı yazılım tarayıcısını kiosk modunda kilitler
Yeni Linux Kötü Yazılım Hadooken Hedefleri Oracle WebLogic Sunucular
Yeni VO1D kötü amaçlı yazılım 1,3 milyon Android akış kutusuna bulaştı
Spyagent Android kötü amaçlı yazılım, kripto kurtarma cümlelerinizi resimlerden çalıyor
Quad7 Botnet daha fazla Soho ve VPN yönlendiricileri, medya sunucularını hedefler
Kaynak: Bleeping Computer