Kuzey Kore’nin Lazarus Grubu’na bağlı bilgisayar korsanlarının, kurbanları kandırmak için yaklaşık 500 kimlik avı alanı kullanan NFT’yi hedef alan büyük bir kimlik avı kampanyasının arkasında olduğu bildiriliyor.
Blok zinciri güvenlik firması SlowMist, 24 Aralık’ta Kuzey Kore Gelişmiş Kalıcı Tehdit (APT) gruplarının NFT yatırımcılarını NFT’lerinden ayırmak için kullandıkları taktikleri ortaya koyan bir rapor yayınladı.
Bu sahte web sitelerine örnek olarak, Dünya Kupası ile ilişkili bir proje gibi davranan bir sitenin yanı sıra OpenSea, X2Y2 ve Rarible gibi iyi bilinen NFT pazarlarının kimliğine bürünen siteler verilebilir.
lowMist, kullanılan taktiklerden birinin, bu aldatıcı web sitelerinin “kötü amaçlı Naneler” sunmasını sağlamak olduğunu ve bu da kurbanları cüzdanlarını web sitesine bağlayarak meşru bir NFT bastıklarını düşünmeleri için aldatmayı içerdiğini söyledi.
Bununla birlikte, NFT aslında sahtekardır ve kurbanın cüzdanı, şimdi ona erişimi olan bilgisayar korsanına karşı savunmasız bırakılmıştır.
Rapor ayrıca, kimlik avı web sitelerinin çoğunun aynı İnternet Protokolü (IP) altında çalıştığını, tek bir IP altında 372 NFT kimlik avı web sitesinin ve başka bir IP ile ilişkili 320 NFT kimlik avı web sitesinin bulunduğunu ortaya koydu.
SlowMist, kimlik avı kampanyasının birkaç aydır devam ettiğini ve en eski kayıtlı alan adının yaklaşık yedi ay önce geldiğini belirtti.
Kullanılan diğer kimlik avı taktikleri, ziyaretçi verilerini kaydetmeyi ve harici sitelere kaydetmeyi ve görüntüleri hedef projelere bağlamayı içeriyordu.
Bilgisayar korsanı ziyaretçinin verilerini elde etmek üzereyken, kurban üzerinde çeşitli saldırı komut dosyaları çalıştırmaya devam edecek, bu da bilgisayar korsanının kurbanın erişim kayıtlarına, yetkilerine, eklenti cüzdanlarının kullanımına ve kurbanın onay kaydı ve sigData gibi hassas verilere erişmesine izin verecekti.
Tüm bu bilgiler daha sonra bilgisayar korsanının kurbanın cüzdanına erişmesini sağlar ve tüm dijital varlıklarını açığa çıkarır.
Bununla birlikte, SlowMist, bunun sadece “buzdağının görünen kısmı” olduğunu vurguladı, çünkü analiz materyallerin sadece küçük bir kısmına baktı ve Kuzey Koreli bilgisayar korsanlarının kimlik avı özelliklerinin “bazılarını” çıkardı.
Örneğin, SlowMist, yalnızca bir kimlik avı adresinin kimlik avı taktikleriyle 1.055 NFT kazanabildiğini ve 367.000 dolar değerinde 300 ETH kazanabildiğini vurguladı.
Aynı Kuzey Koreli APT grubunun, daha önce 15 Mart’ta Prevailion tarafından belgelenen Naver kimlik avı kampanyasından da sorumlu olduğunu ekledi.