朝鲜黑客利用 Kandykorn 恶意软件攻击加密工程师

据 CryptoPotato 报道，Elastic Security Labs 最近发现了一起复杂的网络入侵事件，据信是与 Lazarus 组织有关的朝鲜黑客所为。该事件被追踪为 REF7001，涉及使用一种名为 Kandykorn 的新型 macOS 恶意软件，专门针对加密货币交易所平台的区块链工程师。该恶意软件是通过公共 Discord 服务器上的私人消息发布的，这在 macOS 入侵策略中并不常见。Kandykorn 恶意软件利用加密的 RC4 和独特的握手机制启动与命令控制（C2）服务器的通信。它耐心地等待命令，让黑客能够谨慎地保持对被入侵系统的控制。Elastic Security Labs 对 Kandykorn 的功能提供了有价值的见解，展示了它在执行文件上传和下载、进程操作以及执行任意系统命令方面的能力。该恶意软件还利用了反射式二进制加载技术，这是一种与臭名昭著的 Lazarus 集团有关的无文件执行技术。有确凿证据表明，该攻击与朝鲜的 Lazarus 集团有关，包括技术、网络基础设施、用于签署恶意软件的证书以及用于检测 Lazarus 集团活动的定制方法等方面的相似之处。链上交易揭示了 Atomic Wallet、Alphapo、CoinsPaid、Stake.com 和 CoinEx 的安全漏洞之间的联系，进一步证明了 Lazarus 集团参与了这些漏洞的利用。Elastic Security Labs 强调了采取强有力的网络安全措施防范此类威胁的重要性。