Hackerat e lidhur me Korenë e Veriut konsiderohen ndër më të suksesshmit në vjedhjen e aseteve digjitale, duke qenë përgjegjës, sipas vlerësimeve, për rreth 60% të humbjeve totale nga sulmet kibernetike në sektorin e kriptomonedhave vitin e kaluar. Këto grupe përdorin metoda të shumëllojshme sulmi, çka e bën shumë të vështirë identifikimin e tyre në kohë.
Rasti më i fundit dhe më i madh i regjistruar deri më tani është sulmi ndaj një platforme të njohur të tregtimit, ku brenda vetëm 20 minutash u zhdukën rreth 6.3 miliardë dollarë. Sipas vetë kompanisë, sulmuesit arritën fillimisht të komprometojnë kompjuterin e punës së një inxhinieri përmes një interviste pune të rreme, më pas përdorën një mjet të brendshëm të bazuar në inteligjencë artificiale për të marrë kontroll mbi kompjuterët e inxhinierëve të tjerë, dhe në fund shfrytëzuan kredenciale të vjedhura për të marrë nën kontroll shërbimin e brendshëm të nënshkrimit të wallet-eve.
Intervista false dhe identitete të rreme
Metoda më e përhapur mbetet punësimi nën identitet të rremë. Zyrtarë të sigurisë kibernetike të një prej bursave kryesore kanë pohuar se çdo ditë refuzohen CV të dyshuara si të lidhura me Korenë e Veriut, dhe se pothuajse të gjitha sulmet e mëdha të kësaj natyre kanë përfshirë një punonjës fals që ka ndihmuar në realizimin e sulmit.
Më shumë se CV-të, shenjat dalluese shfaqen edhe gjatë intervistave, ku sulmuesit përdorin teknologji deepfake për të ndryshuar fytyrën dhe zërin. Një shenjë e qartë dyshimi, sipas ekspertëve, është lidhja e ngadaltë e internetit gjatë bisedës, pasi përkthimi dhe ndryshimi i zërit në kohë reale kërkojnë kohë përpunimi shtesë.
Ata që arrijnë të punësohen priren të jenë papritur shumë të aftë në punë, pasi shpesh një pozicion i vetëm ndahet mes disa personave që punojnë në zona të ndryshme kohore. Vetëm gjatë vitit të fundit, kompania raportoi se ekipi i saj i sigurisë ka zbuluar dhe parandaluar dhjetëra raste të dyshuara të lidhura me këto grupe hackerash.
Si u realizua sulmi i madh
Teknika tjetër e përdorur shpesh është kthimi i skenarit: sulmuesit paraqiten si rekrutues dhe kontaktojnë punonjës që tashmë punojnë në kompani të njohura të kriptomonedhave. Zakonisht pretendojnë se ka probleme teknike gjatë thirrjes video dhe dërgojnë një link për përditësimin e aplikacionit, i cili në realitet instalon malware në pajisjen e viktimës.
Sipas kompanisë së prekur, sulmi i madh ka nisur pikërisht kështu. Një inxhinier software-i u kontaktua përmes një platforme të ligjshme punësimi nga dikush që paraqitej si drejtor projekti, i cili organizoi dy intervista. Në të parën, një person që pretendonte se ishte përfaqësues i burimeve njerëzore fitoi besimin e inxhinierit përmes një llogarie sociale plot foto dhe video personale.
Në intervistën e dytë, zhvilluar në një aplikacion bisede, inxhinierit iu kërkua të shkarkonte një "detyrë" në kompjuterin e punës. Kodi i dërguar përmbante malware të panjohur më parë, i cili u aktivizua gjatë instalimit, zëvendësoi një mjet zhvilluesi të ligjshëm me një version të dëmshëm dhe u lidh me një server të kontrolluar nga sulmuesit, duke anashkaluar mjetet e sigurisë së kompanisë.