Siber güvenlik şirketi ESET Research, Kuzey Kore ile bağlantılı olduğu düşünülen ve kripto para hırsızlığına odaklanan DeceptiveDevelopment grubuna ilişkin yeni bulgularını paylaştı. “Contagious Interview” olarak da bilinen bu tehdit aktörü, özellikle Windows, Linux ve macOS platformlarında çalışan serbest geliştiricileri hedef alıyor ve sofistike sosyal mühendislik teknikleriyle kripto para cüzdanlarına sızıyor.
Sahte iş görüşmeleri ve ClickFix tekniği ile tuzak kuruluyor
Araştırmaya göre DeceptiveDevelopment, sahte iş ilanları ve görüşmeler üzerinden hedeflerine ulaşıyor. LinkedIn, Upwork, Freelancer.com ve Crypto Jobs List gibi platformlarda sahte profiller oluşturarak geliştiricilere cazip iş teklifleri sunuyor. İşe alım sürecinin son aşamasında “ClickFix” adı verilen bir teknik devreye giriyor:
Kurbanlardan kamera sorununu gidermek için bir terminal komutu kopyalamaları isteniyor, ancak bu komut cihazlara kötü amaçlı yazılım indirip çalıştırıyor.
ESET’in analiz ettiği yükler arasında BeaverTail, OtterCookie, WeaselStore bilgi hırsızları ve modüler uzaktan erişim aracı InvisibleFerret öne çıkıyor. Bu araçlar, kripto cüzdanları ve hassas bilgileri hedef alarak finansal kayıplara yol açabiliyor.
Kuzey Koreli BT çalışanlarıyla bağlantı
ESET Research’ün açık kaynak istihbarat (OSINT) bulguları, DeceptiveDevelopment’ın Kuzey Koreli BT çalışanlarının sahte kimliklerle Batılı şirketlerde iş bulma operasyonlarıyla bağlantılı olabileceğini gösteriyor. FBI raporlarına göre bu faaliyetler 2017’den bu yana sürüyor ve son yıllarda hız kazandı. Kuzey Koreli çalışanlar yapay zekâ destekli sahte özgeçmişler ve yüz manipülasyonu kullanarak video görüşmelerine katılabiliyor.
Bu kişilerin işverenlerden elde ettikleri verilere yetkisiz erişim sağladığı ve kritik bilgileri şantaj amaçlı kullanabildiği de belirtiliyor. Özellikle Avrupa’da —Fransa, Polonya, Ukrayna ve Arnavutluk gibi ülkelerde— hedefleme eğiliminin arttığı dikkat çekiyor.
Gelişmiş kötü amaçlı yazılımlar
ESET’in Virus Bulletin Konferansı’nda sunduğu rapor, DeceptiveDevelopment’ın teknik evrimini de ortaya koyuyor. Grup, başlangıçtaki basit zararlı yazılımlardan çok daha gelişmiş araç setlerine geçmiş durumda. Yeni keşfedilen TsunamiKit ve WeaselStore gibi yazılımlar, hedef cihazlarda kalıcı kontrol ve veri sızdırma imkânı sağlıyor. Ayrıca Lazarus grubunun kullandığı araçlarla teknik benzerlikler de bulundu.
Uzmanlardan uyarı
ESET araştırmacısı Peter Kálnai, “Bu saldırganlar oldukça yaratıcı sosyal mühendislik yöntemleri kullanıyor. Yazılım geliştiriciler için bile tehlikeli tuzaklar kurabiliyorlar. Özellikle kripto para ve Web3 projelerinde çalışanların çok dikkatli olması gerekiyor” uyarısında bulundu.
Uzmanlar, geliştiricilerin güvenilmeyen kaynaklardan gelen kodları çalıştırmaması, iş tekliflerinin doğruluğunu kontrol etmesi ve bilinmeyen komutları terminal üzerinde çalıştırmaktan kaçınması gerektiğini vurguluyor.
