Die Täter sprachen Web3-Entwickler mit gut bezahlten Stellenangeboten an. Über LinkedIn gaben sie sich als Mitarbeiter erfundener Firmen aus; in einem Fall registrierten sie sogar eine Scheinfirma in Mexiko, um Bewerber zu überzeugen. Nach Hutchins’ Angaben setzten die Angreifer generative KI nicht nur ein, um den Schadcode zu verbessern, sondern auch, um die gefälschten Unternehmen und LinkedIn-Profile für die Jobangebote zu erstellen.
Hatte ein Entwickler angebissen, wurde er gebeten, ein angebliches Werkzeug für einen Programmiertest herunterzuladen, das mit Schadsoftware versehen war. Die Forscher von Expel erhielten Zugang zu einem internen Kontrollpanel der Gruppe, über das Kennzahlen zu BeaverTail erfasst wurden. Die Malware erlaubt es, Zugangsdaten aus Passwortmanagern, dem macOS-Schlüsselbund und weiteren Quellen abzugreifen.
Interne Dokumente zeigten laut Bericht, dass die HexagonalRodent-Kampagne auf 31 Hacker in sechs Teams verteilt ist. Es gebe Hinweise darauf, dass frühere Mitglieder der Gruppe abgespalten und eigene Operationen gegründet haben.
Die Erkenntnisse sind nach Darstellung von Expel ein weiteres Beispiel für Nordkoreas vielfältige Methoden beim Diebstahl von Kryptowährung. Neben aufsehenerregenden Angriffen auf Krypto-Börsen mit Beträgen in dreistelliger Millionenhöhe konzentrieren sich mehrere nordkoreanische Akteure darauf, vergleichsweise kleine Summen von gewöhnlichen Nutzern abzuziehen.
Hutchins führt das auf die Lage in der Tech-Branche zurück: „In den vergangenen vier Jahren wurde die Tech-Branche von einer Massenentlassung nach der anderen überrollt.“ Das habe vermutlich auch das betrügerische IT-Arbeiter-Programm Nordkoreas getroffen und das Land gezwungen, Ressourcen auf andere Einnahmequellen zu verlagern. Bei so vielen arbeitslosen Softwareentwicklern und so wenigen freien Stellen falle es den staatlich unterstützten Hackern umso leichter, Ziele zu ködern: Wer sich auf Hunderte oder Tausende Stellen ohne Rückmeldung bewerbe, sei wahrscheinlich weniger wachsam, wenn endlich ein Angebot komme.
Der Bericht erscheint wenige Tage, nachdem der nordkoreanischen Regierung zwei separate Krypto-Raubzüge zur Last gelegt wurden, bei denen jeweils mehr als 280 Millionen Dollar von einer Plattform entwendet worden sein sollen.
Sicherheitsunternehmen warnen die Kryptobranche weiterhin, dass Nordkoreas Hacker eigene Teams unterhalten, die gezielt Entwickler mit Schadsoftware angreifen. Microsoft deckte kürzlich eine gegen macOS gerichtete nordkoreanische Kampagne auf, die das Stehlen von Krypto-Vermögenswerten und das Abgreifen von Zugangsdaten ermöglichte. Ein weiteres Unternehmen identifizierte eine aus Pjöngjang gesteuerte Kampagne, die mit gefälschten Online-Meetings ebenfalls auf macOS zielte.