Attacco informatico di larga scala: 3.136 indirizzi IP colpiti
Un nuovo rapporto di Recorded Future rivela un attacco informatico di vasta portata condotto da PurpleBravo, un gruppo di hacker nordcoreani noto per le sue attività di spionaggio cibernetico e furto finanziario. L'attacco, denominato "Contagious Interview", ha colpito 20 organizzazioni in diverse industrie tra cui AI, criptovalute, servizi finanziari, IT e software, con un focus su aziende europee, sudasiatiche, del Medio Oriente e dell'America Centrale.
Tra gli obiettivi individuati ci sono individui che hanno eseguito codice dannoso sui dispositivi aziendali durante il processo di ricerca di lavoro. L'attacco si è esteso dal mese di agosto 2024 a settembre 2025, con un'ampia concentrazione di indirizzi IP in Sud Asia e Nord America.
PurpleBravo è noto per utilizzare diversi metodi di attacco, tra cui l'utilizzo di progetti Visual Studio Code (VS Code) dannosi per distribuire malware come BeaverTail e GolangGhost. L'organizzazione utilizza anche Astrill VPN per nascondere le proprie attività e gestisce server di controllo da diverse piattaforme.
- Contagious Interview: attacco che sfrutta candidati in cerca di lavoro per infiltrarsi nelle aziende
- PurpleBravo: gruppo di hacker nordcoreani noto per spionaggio e furto finanziario
- BeaverTail e GolangGhost: malware utilizzati da PurpleBravo
- Astrill VPN: strumento utilizzato per nascondere le attività degli aggressori
Questa nuova scoperta mette in luce la crescente minaccia rappresentata dai gruppi di hacker nordcoreani, che continuano a sviluppare nuove tattiche e tecniche per raggiungere i propri obiettivi.
ANALISI TECNICA
La campagna di cyberattacco "Contagious Interview", attribuita al gruppo North Korean PurpleBravo, si concentra su candidati per posizioni lavorative nel settore IT. L'analisi tecnica rivela dettagli significativi sul modus operandi e sulle tecnologie utilizzate.
Target e Geografica
- 3.136 indirizzi IP individuati come potenziali bersagli, concentrati principalmente in Sud Asia e Nord America.
- 20 organizzazioni colpite appartenenti a settori diversi (AI, criptovalute, servizi finanziari, IT, marketing e sviluppo software) in Europa, Sud Asia, Medio Oriente e America Centrale.
Tecniche di Attacco
- Job-seeking Phishing: I cybercriminali creano profili LinkedIn falsi da sviluppatori o recruiter, fingendosi provenienti dall'Ucraina.
- Software Malizioso:** Utilizzano progetti Microsoft Visual Studio Code (VS Code) infetti per distribuire backdoor come BeaverTail e GolangGhost.
- C2 Server: Due set distinti di server C2 gestiti tramite Astrill VPN ed indirizzi IP in Cina.
Strumenti Utilizzati
- BeaverTail: JavaScript infostealer e loader.
- GolangGhost (FlexibleFerret o WeaselStore): Backdoor Go-based basato su HackBrowserData.
- Astrill VPN: per la gestione dei C2 server.
Colpo di Occhio
La campagna "Contagious Interview" evidenzia l'utilizzo sempre più sofisticato da parte dei North Korean threat actors di tecniche di social engineering e software open-source per raggiungere i propri obiettivi di spionaggio e furto finanziario. La collaborazione con il gruppo PurpleDelta, che si concentra su falsi impieghi IT, dimostra un approccio multi-fase al cybercrime.
Contesto: DI MERCATO/SICUREZZA
La minaccia informatica rappresentata da gruppi come PurpleBravo (associato alla campagna "Contagious Interview") è in costante evoluzione. Secondo le nuove analisi di Recorded Future's Insikt Group, la campagna ha colpito oltre 3.136 indirizzi IP individuali appartenenti a potenziali bersagli in settori diversi come l'intelligenza artificiale (AI), la criptovaluta, i servizi finanziari, i servizi IT, il marketing e lo sviluppo software.
Le vittime si trovano in Europa, Sud Asia, Medio Oriente e America Centrale. La campagna, documentata per la prima volta alla fine del 2023, utilizza diversi nomi tra cui CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, Gwisin Gang, Tenacious Pungsan, UNC5342, Void Dokkaebi e WaterPlum.
Un elemento preoccupante è l'utilizzo di candidati che cercano lavoro come vettore di attacco. Secondo Recorded Future, in alcuni casi i candidati hanno eseguito codice dannoso su dispositivi aziendali, esponendo l'organizzazione oltre al singolo target. Questa strategia evidenzia la crescente sofisticazione delle tecniche utilizzate da PurpleBravo.
La campagna "Contagious Interview" si integra con un'altra iniziativa denominata "Wagemole" (PurpleDelta), dove gli hacker nordcoreani cercano lavoro in organizzazioni di tutto il mondo, utilizzando identità false o rubate. Sebbene le due campagne siano trattate come attività distinte, ci sono significative sovrapposizioni tattiche e infrastrutturali tra loro.
Strategia: E DIFESA: Consigli pratici per l'utente/investitore
La recente campagna di cyberattacchi "Contagious Interview", attribuita al gruppo North Korean PurpleBravo, mette in luce la crescente minaccia per individui e aziende. Il gruppo si concentra su candidati a lavoro, sfruttando piattaforme come LinkedIn per diffondere malware e acquisire accesso ai sistemi aziendali.
- Attenzione alle offerte di lavoro sospette: Verificare attentamente l'identità dell'azienda e del recruiter prima di inviare informazioni personali o curriculum vitae.
- Non eseguire file sconosciuti: Anche se provengono da fonti apparentemente affidabili, evitare di aprire allegati o link sospetti. Utilizzare sempre software antivirus aggiornato.
- Mantenere i sistemi informatici aggiornati: Installare le ultime patch e aggiornamenti per software e sistemi operativi per mitigare vulnerabilità conosciute.
- Utilizzare password complesse e uniche: Evitare di riutilizzare la stessa password per diversi account. Attivando l'autenticazione a due fattori (2FA) si aggiunge un ulteriore livello di sicurezza.
- Formazione continua: Essere consapevoli delle ultime minacce informatiche e seguire best practice per la sicurezza online.
Per le aziende, è fondamentale implementare misure di sicurezza robuste, tra cui:
- Sicurezza del software: Verificare attentamente il codice sorgente utilizzato nei progetti e adottare procedure di revisione del codice per identificare potenziali vulnerabilità.
- Monitoraggio delle attività: Implementare sistemi di monitoraggio per rilevare comportamenti sospetti e intrusioni.
- Risposta agli incidenti: Definire un piano di risposta agli incidenti informatici per contenere e gestire efficacemente le minacce.
La consapevolezza e la proattività sono fondamentali per proteggersi dalle minacce informatiche sempre più sofisticate.
La campagna "Contagious Interview" di PurpleBravo rappresenta una minaccia persistente per organizzazioni di diversi settori. L'utilizzo di tecniche di inganno come la creazione di profili falsi su LinkedIn e l'implementazione di malware tramite progetti Visual Studio Code dimostra l'evoluzione delle tattiche utilizzate dai North Korean threat actors.
La concentrazione degli attacchi in Sud Asia e Nord America, insieme alla presenza di connessioni con altre attività di PurpleBravo come "Wagemole", suggerisce una strategia mirata a colpire aziende specifiche e sfruttare le vulnerabilità del settore IT. La crescente sofisticazione delle tecniche utilizzate da PurpleBravo richiede un'attenzione particolare da parte delle organizzazioni per mitigare il rischio di compromissione.
- Si prevede che PurpleBravo continuerà a evolversi, adottando nuove tattiche e tecnologie per aggirare i sistemi di sicurezza.
- Le aziende devono rafforzare le proprie misure di sicurezza informatica, implementando un controllo rigido degli accessi, la formazione del personale e la protezione delle infrastrutture IT.
- La collaborazione tra settore pubblico e privato sarà fondamentale per condividere informazioni e sviluppare strategie efficaci contro questa minaccia persistente.
Nota Editoriale e Disclaimer
Le guide e le notizie pubblicate su GoYou sono frutto di ricerca e analisi indipendente a scopo informativo e didattico.
La Redazione e i collaboratori declinano ogni responsabilità per l'uso improprio delle informazioni. Nel settore Crypto, ricordiamo che ogni investimento comporta rischi: informatevi sempre autonomamente prima di agire.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l'uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.