Двама различни севернокорейски държавни извършителя са свързани с кибератака срещу голямата руска компания за ракетно инженерство NPO Mashinostroyeniya.

Фирмата за киберсигурност SentinelOne заяви, че е установила „два случая на свързано със Северна Корея компрометиране на чувствителна вътрешна ИТ инфраструктура“, включително случай на компрометиране на сървър за електронна поща и внедряване на задна врата за Windows, наречена OpenCarrot.

Нарушаването на сървъра за електронна поща с Linux се приписва на ScarCruft. От друга страна, OpenCarrot е известен имплант, за който преди това е установено, че е използван от Lazarus Group. Атаките са били сигнализирани в средата на май 2022 г.

Базираното в Реутов ракетно конструкторско бюро NPO Mashinostroyeniya е санкционирано от Министерството на финансите на САЩ през юли 2014 г. във връзка с „продължаващите опити на Русия да дестабилизира Източна Украйна и продължаващата окупация на Крим“.

Въпреки че и ScarCruft (известна още като APT37), и Lazarus Group са свързани със Северна Корея, заслужава да се отбележи, че първата е под надзора на Министерството на държавната сигурност (МДС). Lazarus Group е част от Лаборатория 110, която е съставна част на Главното разузнавателно управление (ГРУ) – основната външна разузнавателна служба на страната.

Разработката бележи рядко срещано сближаване, при което две независими групи за заплахи, базирани в Северна Корея, са се насочили към една и съща структура, което показва „изключително желана стратегическа шпионска мисия“, която би могла да бъде от полза за спорната й ракетна програма.

OpenCarrot е реализиран като библиотека за динамично свързване (DLL) за Windows и поддържа над 25 команди за провеждане на разузнаване, манипулиране на файлови системи и процеси и управление на няколко комуникационни механизма.

„Благодарение на широкия спектър от поддържани функционалности OpenCarrot позволява пълно компрометиране на заразени машини, както и координиране на множество заразявания в локална мрежа“, казват изследователите по сигурността Том Хегел и Александър Миленкоски.

Точният метод, използван за пробив на имейл сървъра, както и веригата от атаки, използвана за доставката на OpenCarrot, остават неизвестни, въпреки че е известно, че ScarCruft разчита на социално инженерство, за да фишира жертви и да доставя задни врати като RokRat.

Нещо повече, по-внимателното проучване на инфраструктурата на атаката разкри два домейна centos-packages[.]com и redhat-packages[.]com, които имат сходство с имената, използвани от участниците в заплахата при хакването на JumpCloud през юни 2023 г.

„Този инцидент стои като убедителна илюстрация на проактивните мерки на Северна Корея за тайно постигане на целите им за разработване на ракети, за което свидетелства директното им компрометиране на руска организация от отбранително-промишлената база (ОПБ)“, заявиха изследователите.