Lazarus hacker grubu, kripto iş ilanlarıyla tuzak kuruyor

Kuzey Kore bağlantılı hacker grubu Lazarus, merkezi finans(CeFi) tabanlı kripto para şirketlerinde iş arayanları hedef alan yeni bir saldırı yöntemi geliştirdi. 24’ünde, siber güvenlik şirketi Sekoia’ya göre, grup yeni kötü amaçlı yazılım dağıtım tekniği ‘ClickFix’i kullanmaya başladı. Bu yöntem, geçmişte teknik çalışanlara yönelik gerçekleştirilen ‘bulaşmış mülakat’ kampanyasının daha gelişmiş bir versiyonu olarak değerlendiriliyor.

Bu kez hedef, geliştirici ya da mühendis gibi teknik personel değil; pazarlama ve iş geliştirme gibi teknik olmayan alanlarda çalışan bireyler. Lazarus, Coinbase, Kraken, KuCoin ve Tether gibi tanınmış kripto para şirketlerinin adını taklit ederek sahte işe alım siteleri hazırlıyor. Bu siteler gerçek kariyer sayfalarını aratmayacak kadar profesyonel görünüyor ve başvurandan video tanıtım göndermesini istemek gibi güven artırıcı öğeler içeriyor.

Kurban video kaydı yapmak istediğinde, sahte bir kamera arızası mesajı açılıyor. Bu mesaj, kullanıcıyı PowerShell’e komutlar girerek “kamera sorununu çözmeye” ikna ediyor. Ancak gerçekte bu süreç kötü amaçlı yazılımın cihaza yüklenmesini tetikliyor. Sekoia, bu saldırı kampanyasında en az 14 farklı büyük firmanın isminin taklit edildiğini ve 184’ten fazla sahte mülakat e-postası gönderildiğini açıkladı.

Önceki saldırılar daha çok yazılım geliştiricileri veya altyapıya erişimi olan şirket çalışanlarını hedef alırken, bu yeni yöntem doğrudan iş arayanların psikolojisini kullanıyor. Bu durum, yetkisiz kişiler aracılığıyla şirket içi verilere ulaşılabilecek ciddi bir güvenlik riskine işaret ediyor. Özellikle pazarlama gibi alanlarda çalışan ve hassas iç verilere erişimi olabilen kişiler de risk altında.

Öte yandan, FBI daha önce yaşanan Bybit siber saldırısının da Lazarus tarafından gerçekleştirildiğini değerlendiriyor. O dönemde yaklaşık 1,5 milyar dolarlık (yaklaşık 2,19 trilyon won) zarar meydana gelmişti. Hackerlar, ‘TraderTraitor’ adlı kötü amaçlı yazılımı sahte iş teklifleri aracılığıyla dağıttı. JavaScript ve Node.js kullanılarak geliştirilen bu yazılım, yasal bir ticaret uygulaması izlenimi verirken aslında kullanıcıların özel anahtarlarını ele geçirmek ve yasa dışı blokzincir işlemleri gerçekleştirmek amacıyla tasarlanmıştı.

Sekoia, Lazarus’un halen ‘bulaşmış mülakat’ kampanyasını sürdürdüğünü ve aynı anda birden fazla yöntemi deneyerek hangisinin daha etkili olduğunu ölçtüğünü saptadı. Tüm bu saldırılar, mağdura kötü amaçlı yazılımı kendi isteğiyle yüklettiren ‘güvene dayalı bulaşma’ yöntemini esas alıyor.

Kripto para sektörü genelinde tehdit düzeyi giderek yükselirken, Lazarus daha sofistike sosyal mühendislik yöntemleri kullanarak hedef kitlesini genişletmeye devam ediyor. Güvenlik uzmanları hem şirketleri hem de bireysel iş arayanları şüpheli iş tekliflerine karşı çok dikkatli olmaları konusunda uyarıyor.