Nazioni Unite accusano la Nord Corea: avrebbe rubato 2 miliardi di dollari per finanziare progetti militari

Secondo un articolo pubblicato dalla testata Reuters, le Nazioni Unite avrebbero tenuto sotto controllo il Governo di Pyongyang durante la prima metà del 2019, facendo emergere in un report confidenziale almeno 35 attacchi informatici perpetrati ai danni di istituzioni finanziarie e piattaforme exchange di cryptovalute, in parallelo ad una campagna di spear phishing/malspam rivolta ad utenti della Sud Corea.

Scopo di questi attacchi sarebbe stato il raccogliere denaro per finanziare strumentazioni militari e programmi nucleari.
Si presume che l’ammontare del denaro ottenuto con gli attacchi sia di almeno 2 miliardi di dollari.

Sospetto threat actor

Considerati gli attacchi passati attribuiti alla Nord Corea e alle TTP (tecniche, tattiche e procedure) analizzate, sembrerebbe che alle spalle delle campagne perpetrate vi sia il gruppo APT “Bluenoroff“, una fazione del noto actor state-sponsored noto come “Lazarus Group” (alias “Labyrinth Chollima”, “Group 77”, “Unit 121”, “Hidden Cobra”).

Modus Operandi

Sono state registrate diverse TTP attribuibili al collettivo Bluenoroff, di cui:

• Intromissione in una intera infrastruttura di ATM, manomettendo la destinazione delle transazioni
• Manomissione della piattaforma sudcoreana di exchange cryptovalute Bithumb
• Campagna malspam veicolante malware di tipo RAT/miner

Coinvolgimenti

Dal rapporto UN risulterebbe che i paesi presi di mira dal collettivo Bluenoroff siano almeno 17, ma attualmente non esiste alcun elenco ufficiale.

Tuttavia, da un’analisi di campagne e operazioni degli ultimi mesi, si può presumere che tra i paesi presi di mira dal collettivo vi siano i seguenti (non si può confermare, tuttavia, che le attività siano correlate tra loro):

Campagna “Movie Coin”: La Sud Corea nel mirino degli attacchi spear phishing e watering hole

Come accennato precedentemente, il collettivo Bluenoroff sarebbe responsabile di una campagna massiva nei confronti del Sud Corea, le quali email risulterebbero essere simili a questa:

I documenti HWP (estensione di un noto elaboratore di testi coreano in Hangul, alfabeto coreano ndr) risulterebbero avere date di ultima modifica che vanno dal 18 giugno fino al 12 luglio.

Esempi di documenti inviati:

I tre allegati, di estensione HWP, risultano essere dei payload che sfruttano vulnerabilità non meglio precisate, con il fine di prendere il controllo della postazione infetta e minare Monero per un ottenimento non rintracciabile di denaro.

IOC MD5

Risultano contattati i seguenti indirizzi utilizzati come C2:

https://technokain.com/ads/adshow1.dat
https://technokain.com/ads/adshow2.dat
https://www.weeklyexperts.com/wp-content/plugins/revslider/about.php
https://www.payngrab.com/wordpress/wp-content/plugins/megamenu/about.php
https://www.adhyatmikpunarjagran.org/wp-includes/Text/about.php
https://www.sparkdept.com/wp-content/uploads/themify/theme2.db.enc
https://www.sbaragliavareadores.es/images/a.avi(32bit)-movie32.dll/drukom
https://www.sbaragliavareadores.es/images/b.avi(64bit)-movie64.dll/drukom
https://locphuland.com/wp-content/themes/hikma/total.php
https://www.matthias-dlugi.de/wp-content/themes/twentyfifteen/helper.php
https://castorbyg.dk/wp-content/themes/302.php