Północnokoreański aktor zagrożeń motywowany finansowo (śledzony jako UNC1069) atakuje firmy z branży kryptowalut, wykorzystując inżynierię społeczną opartą na deepfake’ach oraz zaawansowane techniki ClickFix.
Według Mandiant z Google Cloud atakujący:
🎭 Przejęli konto na Telegramie prawdziwego dyrektora z branży kryptowalut
📅 Wysłali wiarygodnie wyglądające zaproszenie z Calendly
🎥 Skierowali ofiary na fałszywe spotkanie Zoom hostowane na infrastrukturze atakujących
🤖 Użyli wideo deepfake do zasymulowania problemów technicznych
💻 Przekonali ofiary do uruchomienia jednego złośliwego polecenia w systemie macOS lub Windows
To polecenie uruchamiało pełny łańcuch infekcji — instalowało backdoory, wdrażało dodatkowe narzędzia i wykradało:
🔐 dane uwierzytelniające z Keychain
🌐 dane z przeglądarki
💬 dane z Telegrama
📝 dane z Apple Notes
UNC1069 odszedł od tradycyjnego spear-phishingu i obecnie koncentruje się na ekosystemie Web3, w tym na:
• giełdach kryptowalut
• programistach
• funduszach venture capital
• kadrze zarządzającej i osobach o wysokiej wartości
Grupa podobno wykorzystuje duże modele językowe (LLM, takie jak Gemini) do rozpoznawania celów i doskonalenia technik inżynierii społecznej.
Dlaczego to ważne
To nie jest atak, w którym na pierwszym miejscu jest malware — tu na pierwszym miejscu jest zaufanie.
Deepfake’i + legalne platformy + polecenia uruchamiane przez użytkownika = pełne przejęcie.
Wystarczy kilka linijek kodu.
Wnioski dla obrońców
• Nigdy nie uruchamiaj poleceń udostępnionych podczas sesji „rozwiązywania problemów”
• Weryfikuj prośby o spotkania innym kanałem
• W miarę możliwości ograniczaj uprawnienia do wykonywania
• Monitoruj nietypową aktywność w Telegramie / Zoomie / Calendly
