Aki visszahackelte a hackereket: két évig ült Phenjan gépeiben

Van egy régi mondás a hackervilágban: a legjobb védekezés, ha bejutsz a támadó fejébe. Egy görög kutató ezt szó szerint vette — csak épp nem a fejükbe, hanem a szervereikbe jutott be, és onnan majdnem két évig nézte belülről, ahogy az észak-koreai hackerek dolgoznak. Amit talált, az minden eddigi becslést eltörpít: a phenjani rezsim 57 országban 1640 vállalatot tört fel. És a legpikánsabb részlet? A hackerek egy része a saját kártevőjével fertőzte meg magát — így a kutató egyenesen a munkaállomásaikra is bejutott.

A történet főszereplője Vangelis Stykas, a Kumio kiberbiztonsági cég műszaki igazgatója, aki az e heti Las Vegas-i Black Hat konferencián — a kiberbiztonsági szakma egyik legrangosabb seregszemléjén — mutatta be az eredményeit. Stykas elmondta a WIRED-nek, hogy nagyjából 22 hónappal ezelőtt jutott be az észak-koreai operátorok által használt több parancs- és vezérlőszerverbe (angolul command-and-control, C2 — ezek a hackerek irányítóközpontjai, ahonnan a támadásokat vezénylik), és onnantól gyakorlatilag ki sem lépett. Hogy pontosan hogyan jutott be, azt nem árulta el — az alkalmazott módszer érzékeny jellegére hivatkozva. De ami odabent várta, az önmagáért beszél. Stykas hozzávetőleg 5 terabájtnyi ellopott adatba nyert betekintést, sőt magának a hackerbandának a belső kommunikációjába is: „Hozzáférek a Slackjükhöz, hozzáférek a Discordjukhoz, egy csomó mindenhez hozzáférek" — mondta. Ez pedig azért volt lehetséges, mert a támadók egy része — kapaszkodjunk meg — a saját kártevőjével fertőzte meg magát, ami véletlenül Stykasnak is megnyitotta a kaput a munkaállomásaikra. Van ebben valami mélységesen igazságos: a világ egyik legvészjóslóbb állami hackerhadserege a saját fegyverén csúszott el.

A méret az, ami igazán megrázó. Stykas 22 hónap megfigyelése alatt azt találta, hogy a phenjani csoportok 57 országban 1640 céget kompromittáltak. Ebből 700 és 800 közé tehető azok száma, amelyeket „valóban komoly kárt okozó" behatolás ért — ez a szakzsargonban azt jelenti, hogy a támadók a legmagasabb szintű hozzáférést szerezték meg: root hozzáférést a szerverekhez, root hozzáférést az AWS-felhőfiókokhoz (az Amazon felhőszolgáltatásához), és — a kriptocégek esetében — a kriptovaluta-tárcák kulcsait, amelyekkel fizikai jelenlét nélkül üríthetők ki a digitális vagyonok. Stykas nyersen fogalmazott: „Cégszintű hozzáférésről van szó, root hozzáférésről a szerverekhez, root hozzáférésről az AWS-hez. A kriptocégeknél kulcsokról, blokklánc-hozzáférésről — nevetségesen széles körű hozzáférésről." Ez a szám messze felülmúlja azt, amennyit a fenyegetéselemző cégek nyilvánosan valaha is felmértek. Vagyis eddig is tudtuk, hogy Észak-Korea nagyban játszik — de hogy ennyire nagyban, azt most tárta fel először valaki belülről.

A módszer: a hamis álomállás

A behatolás módja pedig pontosan az a minta, amelyet az Ugaron már többször is bemutattunk, és amely a Bybit-ügyben is felbukkant — a szakma „Contagious Interview" (Fertőző állásinterjú) néven ismeri, és a Microsoft már 2022-ben dokumentálta. A recept egyszerű és ördögi: az észak-koreai operátorok kitalált, jól fizető állásajánlatokkal keresik meg a szoftverfejlesztőket, gyakran ismert cégek nevében. Aztán küldenek egy „tesztfeladatot" — egy kódolási gyakorlatot —, amelynek elvégzéséhez le kell tölteni egy programot. Ez a program csendben telepíti a kártevőt és begyűjti a belépési adatokat. Innen a hackerek egészen a teljes szervezeti hozzáférésig jutnak. Stykas egy különösen veszélyes réteget is kiemelt: a külső alvállalkozókat. Ezek a szabadúszó fejlesztők ugyanis gyakran egyszerre több cég rendszeréhez is hozzáférnek — így egyetlen megfertőzött alvállalkozói fiók egy csapásra több szervezetet is kiszolgáltat. Ez pedig, ahogy egy elemző megjegyezte, azt jelenti, hogy a fejlesztői felvételi csatorna ma már nem a HR problémája, hanem támadási felület, amely a biztonsági vezető felelőssége.

Stykas a konferencián nyilvánosan is megnevezett körülbelül egy tucat érintett szervezetet — jellemzően azokat, amelyek jól kezelték a felfedést, vagy orvosolták a feltöréseket. A lista pedig önmagában is mutatja, milyen válogatás nélkül csap le a phenjani gépezet: ott van a Coinbase (a legnagyobb amerikai tőzsdén jegyzett kriptotőzsde), a Uniswap Labs (a vezető decentralizált tőzsdeprotokoll fejlesztője), az Oppo kínai telefongyártó, a japán AEON, a szaúdi Al Rajhi Bank egyik leányvállalata, az olasz Legfelsőbb Bírói Tanács, a belga flamand kormányzati technológiai ügynökség — és, meglepő módon, a Bostoni Gyermekkórház is.

Az érintettek reakciói árnyalják a képet. A Coinbase közölte, hogy egy alvállalkozót már Stykas figyelmeztetése előtt kivizsgált, és nem talált bizonyítékot arra, hogy az illető Észak-Koreában lett volna vagy a kormányhoz kötődne — de a szerződést 30 napon belül felbontotta, és szerinte érzékeny adat nem szivárgott ki. A Bostoni Gyermekkórház szerint az eset egy korábbi külső alvállalkozó személyes eszközét érintette, nem a belső rendszereiket. A flamand kormány pedig izolálta az érintett munkaállomást, miután márciusban megkapta a kutató figyelmeztetését. Vagyis a kép nem egyértelmű minden esetben — de a minta összképe letagadhatatlan. Stykas szerint a hackerek fókusza teljesen egyértelmű volt. Annak ellenére, hogy hozzáfértek érzékeny egészségügyi adatokhoz és bűnügyi adatbázisokhoz is — vagyis olyan információkhoz, amelyekkel egy hagyományos kémszolgálat aranyat ér —, az elkövetők következetesen a kriptovaluta-tárcákat és a blokklánc-hozzáférési jogosultságokat helyezték előtérbe. Nem a titkok érdekelték őket elsősorban, hanem a pénz.

Ez pedig tökéletesen illeszkedik abba a képbe, amelyet Phenjan kiberstratégiájáról tudunk. Áprilisban az Arctic Wolf kutatói egy külön észak-koreai kampányt is dokumentáltak, amely hamis videóhívásokat alkalmazva több mint 20 országban több mint 100 blokklánc- és DeFi-vezető ellen irányult. A logika mindig ugyanaz: a nemzetközi szankciók alá szorított rezsim a kiberlopásból finanszírozza magát és a fegyverkezési programját. Minden ellopott kriptokulcs a végén egy rakétában vagy egy atomtöltetben köszön vissza. Ez a felfedés két dolgot tesz világossá. Az egyik a puszta lépték: ha valaki eddig azt hitte, hogy az észak-koreai hackerfenyegetés néhány látványos rablásból áll, most kiderült, hogy egy 57 országra kiterjedő, ipari méretű beszivárgási hálózatról van szó, amelynek a nyilvánosság eddig csak a jéghegy csúcsát látta. A másik a módszer alattomossága: a támadás nem valamiféle egzotikus, kifinomult technikai résen keresztül érkezik, hanem egy hamis állásajánlaton, egy „tesztfeladaton", egy elhamarkodott kattintáson át. Ahogy Stykas fogalmazott: mindenkit feltörnek, folyamatosan — a nap végén mindenki áldozattá válik.

A jó hír, hogy időnként a vadász is űzött vaddá válik. Egy görög kutató két éven át ült csendben a farkas barlangjában, és most kiteregette, amit látott. A rossz hír, hogy egyetlen Stykas kevés — a phenjani gépezet pedig meg sem torpan. Amíg a szankciók alá szorított rezsimnek a kiberlopás marad a legfőbb bevételi forrása, addig a hamis állásinterjúk, a fertőzött tesztfeladatok és a kiürített kriptotárcák sora sem ér véget. Legfeljebb annyit tehetünk, hogy — a Coinbase-hez vagy a flamand kormányhoz hasonlóan — megtanulunk gyorsabban reagálni, mint ahogy a farkas harap.

Ugar

Kapcsolódó: