GitHub cảnh báo: Tin tặc Lazarus đang nhắm mục tiêu vào các nhà phát triển bằng các dự án độc hại

GitHub đang cảnh báo về một chiến dịch social engineering mới nhắm mục tiêu vào tài khoản của các nhà phát triển trong lĩnh vực blockchain, tiền điện tử, cờ bạc trực tuyến và bảo mật để lây nhiễm phần mềm độc hại vào thiết bị của họ.

Chiến dịch này được quy kết cho nhóm tấn công Lazarus do nhà nước Bắc Triều Tiên hậu thuẫn, còn được gọi là Jade Sleet và TraderTraitor. Chính phủ Mỹ đã phát hành một báo cáo vào năm 2022 trình bày chi tiết các chiến thuật của những kẻ đe dọa.

Nhóm này thường nhắm mục tiêu vào các công ty tiền điện tử và các nhà nghiên cứu bảo mật để thực hiện hành vi gián điệp mạng và đánh cắp tiền điện tử.

Nhắm mục tiêu các nhà phát triển bằng phần mềm độc hại

Trong một cảnh báo bảo mật mới, GitHub cho biết rằng Lazarus đang xâm phạm các tài khoản hợp pháp hoặc tạo ra các đối tượng giả mạo là nhà phát triển và nhà tuyển dụng trên GitHub và phương tiện truyền thông xã hội.

"GitHub đã xác định được một chiến dịch social engineering nhắm vào tài khoản cá nhân của nhân viên của các công ty công nghệ, đang sử dụng kết hợp lời mời đến kho lưu trữ giả mạo và các phụ thuộc (package dependencies) npm độc hại".

Những người này được sử dụng để liên hệ và trò chuyện với các nhà phát triển và nhân viên trong ngành tiền điện tử, cờ bạc trực tuyến và an ninh mạng.

Sau khi tạo dựng niềm tin với mục tiêu, những kẻ đe dọa mời họ cộng tác trong một dự án và sao chép kho lưu trữ GitHub theo chủ đề có liên quan đến các ứng dụng media player và công cụ giao dịch tiền điện tử.

GitHub cho biết các dự án này sử dụng dependencies NPM độc hại để tải các phần mềm độc hại xuống thiết bị nạn nhân.

Các nhà nghiên cứu của Phylum nhận định rằng “đây chắc chắn là tác phẩm của một tác nhân đe dọa chuỗi cung ứng khá tinh vi”.

GitHub cho biết họ đã tạm ngưng tất cả tài khoản NPM và GitHub, đồng thời công bố danh sách đầy đủ các chỉ số liên quan đến tên miền, tài khoản GitHub và package NPM được liên kết với chiến dịch. Công ty cũng nhấn mạnh rằng không có hệ thống GitHub hoặc npm nào bị xâm phạm trong chiến dịch này.

Chiến dịch này tương tự như chiến dịch Lazarus vào tháng 1 năm 2021, trong đó những kẻ đe dọa đã nhắm mục tiêu vào các nhà nghiên cứu bảo mật bằng các cuộc tấn công social engineering sử dụng các tài khoản mạng xã hội giả mạo các "nhà nghiên cứu bảo mật" để lây nhiễm mã độc cho các mục tiêu.

Một chiến dịch tương tự đã được tiến hành vào tháng 3 năm 2021 khi tin tặc tạo một trang web cho một công ty bảo mật giả mạo có tên là SecuriElite để lây nhiễm phần mềm độc hại cho các nhà nghiên cứu.

Để giảm thiểu các nguy cơ bị tấn công, người dùng luôn phải cảnh giác với với các cuộc tấn công social engineering và nhận dạng các dấu hiệu bất thường như lời mời, tin nhắn từ người lạ qua mạng xã hội hay email; cần xác minh danh tính của người liên hệ trước khi tiến hành hợp tác hay cung cấp thông tin nhạy cảm; kiểm tra cẩn thận trước khi tải xuống và cài đặt phần mềm trên thiết bị, tuyệt đối không tải/cài đặt những tệp có nguồn gốc không tin cậy.

Nguồn: bleepingcomputer.com.