Les développeurs Bitmex découvrent des détails sur les pirates de groupe Lazarus après avoir accédé à leur base de données

Bitmex a publié un article détaillé sur son blog décrivant les nombreux exploits du groupe Lazare de la Corée du Nord lié aux récentes attaques contre son échange de crypto. Le groupe Lazare a été connu pour cibler le secteur de la cryptographie, utilisant toutes sortes de trucs et de tactiques pour voler des fonds à des détenteurs de cryptographie sans méfiance.

Les pirates ont ciblé divers échanges, notamment Phemex et Bybit. Ils ont même approché un employé de Bitmex, offrant un projet de faux pour masquer une tentative de phishing pour installer des logiciels malveillants sur l’appareil de l’employé. Mais maintenant, Bitmex riposte, prenant une plongée profonde dans le code malveillant utilisé par le groupe de piratage. Bitmex a découvert de graves vulnérabilités que les échanges peuvent exploiter pour protéger leurs actifs, y compris l’exposition des bases de données de suivi du groupe et des adresses IP d’origine. Bitmex peut suivre ses heures opérationnelles et isoler les acteurs pivots aux opérations du groupe de piratage. Bitmex a identifié différents niveaux pour les pirates, avec des pirates amateurs affectés à des tâches de phishing et à des pirates hautement qualifiés affectés à des procédures post-exploitation.

Le billet de blog Bitmex a décrit diverses mesures à mettre en œuvre pour détecter les violations de sécurité en temps réel, y compris un système de surveillance interne pour détecter les infections. Bitmex s’est soudainement intégré à la cybersécurité parce qu’un membre du groupe Lazare a contacté un employé de Bitmex sur LinkedIn, offrant une proposition pour rejoindre un faux projet NFT. Bitmex n’a pas été impressionné par la tentative de phishing effronté et a décidé d’enquêter sur la question. Bitmex avait désormais une chance d’analyser le code en direct de Lazarus car le pirate leur a donné un lien vers un projet Next.js / React sur GitHub. L’équipe a rapidement découvert que le code était conçu pour inciter les employés à exécuter du code malveillant sur leurs systèmes. 

Une Lazarus Supabase a été découverte par les chercheurs Bitmex, découvrant des données relatives aux logiciels malveillants, y compris le nom d’utilisateur, le nom d’hôte, le système d’exploitation, la géolocalisation, l’horodatage et l’adresse IP. Bitmex a pu classer divers appareils comme un développeur ou une machine de test en raison de la fréquence de fonctionnement. De nombreux développeurs utilisaient des VPN pour obscurcir leur emplacement. Cependant, un développeur s’est glissé à un moment donné, révélant l’adresse IP réelle de la machine, qui est située en jiaxing, en Chine, et utilise une adresse IP mobile en Chine.

Bitmex estime qu’il s’agissait d’un échec opérationnel majeur et pourrait révéler l’identité du pirate. Le Supabase a également révélé les services VPN que les pirates utilisaient. Bitmex a ensuite développé un script pour analyser automatiquement le Supabase et rechercher automatiquement les erreurs opérationnelles. Après tout, même les pirates font des erreurs, ce qui peut être très coûteux pour eux. Bitmex a constaté que l’activité de Lazarus avait chuté entre 8 h et 13 h UTC, équivalent à 17 h et 22 h. Un tel horaire structuré suggère que les attaquants suivent un horaire de travail organisé.

Selon les développeurs Bitmex, les pirates ont diverses capacités techniques et résident dans une hiérarchie d’opérations. Les développeurs Bitmex pourraient exploiter un tel détail en recherchant des erreurs commises par des pirates novices. Les développeurs Bitmex ont remarqué qu’un pirate avait tenté de réutiliser un programme nommé «Beavertail» mais l’a implémenté de manière incorrecte, exposant presque une adresse IP personnelle. Par conséquent, Bitmex a pu améliorer sa sécurité en catégorisant les victimes d’attaque pour la première fois afin qu’elle puisse détecter les erreurs opérationnelles commises par des pirates novices. 

La désobfuscation JavaScript a eu un impact significatif sur les développeurs Bitmex parce que le groupe Lazare s’est fortement appuyé sur le code obscurci. Le blog Bitmex a déclaré que les développeurs s’amusaient beaucoup à découvrir le code obscurci car ils pouvaient utiliser diverses méthodes créatives pour trouver le malware. Ils ont utilisé le webcrack de l’outil pour renommer les variables JavaScript avec du texte lisible par l’homme. WebCrack a une fonction de changement de symbole qui aide au processus de désobfuscation. L’équipe Bitmex avait désobfusée des logiciels malveillants précédents et était préparé pour la tâche à venir. Ils pouvaient stocker diverses procédures afin que le processus puisse être effectué rapidement. Cependant, les développeurs ont remarqué que le code avait une nouvelle fonction connectée à une base de données Supabase et a ajouté des détails sur la machine de la victime. Le Supabase a permis aux attaquants de créer une base de données à la volée sans avoir besoin d’une couche API. Les développeurs Bitmex savaient que les programmeurs ne sécurissent souvent pas une telle base de données avec l’authentification. Ils pourraient accéder au Supabase et effectuer plus d’analyses sur les attaquants.