AllSecure ordnet die Aktivität als neue Variante der seit längerem laufenden Kampagne Contagious Interview ein. Anders als bei früheren Fällen beginnt die Infektionskette diesmal nicht mit vermeintlichen Jobangeboten, Video-Assessments oder Programmieraufgaben. Stattdessen startet sie mit einem Klick auf ein Suchergebnis für ein nicht näher benanntes Unternehmen.

Im von AllSecure beobachteten Fall suchte das Opfer nach Geräten für die Elektrophorese und klickte auf ein gesponsertes Suchergebnis eines Unternehmens, das solche Produkte offenbar verkauft. Unmittelbar nach dem Laden der Seite zeigte der Browser eine macOS-Vollbildmeldung an, die wie ein laufendes Software-Update oder ein Neustart wirkte. Laut AllSecure soll diese Nutzererfahrung Panik auslösen: Wer glaubt, das Betriebssystem sei ausgefallen, folge eher Anweisungen, die sonst verdächtig erscheinen würden.

Nach Abschluss der gefälschten Update-Sequenz fordert die Seite den Nutzer auf, die Terminal-App zu öffnen und einen bereits in die Zwischenablage kopierten Befehl einzufügen. Dieser Befehl ist laut Bericht ein curl-Kommando, das die nächste Stufe der Malware nachlädt. Versuche, die Sequenz zu reproduzieren, führten laut AllSecure nicht zum gleichen Ergebnis, was darauf hindeutet, dass die Aktivierung nur für eine einmalige Ausführung gedacht ist.

Darauf folgt die Ausführung einer Node.js-Backdoor, die über einen LaunchAgent dauerhaft auf dem System verankert wird. Das Implantat fragt alle fünf Minuten beim Command-and-Control-Server nach und führt jeden von dort gelieferten JavaScript-Code aus. Ziel der Angriffe ist laut Bericht die Ermöglichung von Remote Code Execution, damit die Backdoor zwei weitere Nutzlasten nachladen kann: einen Information Stealer, der 157 Kryptowallets ins Visier nehmen kann, sowie eine bösartige Chrome-Erweiterung.

Besonders hervor hebt AllSecure die Nutzung von EtherHiding für die Steuerung der Malware. Zwei Ethereum-Adressen sind in der Schadsoftware hinterlegt und dienen als Konfiguration, um die tatsächlichen C2-Server abzurufen: „rg-telemetry[.]sbs/api“ und „th-updates[.]sbs/analytics“. Die Forscher beschreiben das Verfahren als widerstandsfähig gegen Abschaltungen, weil die aktuelle Serveradresse aus einem Ethereum-Smart-Contract aufgelöst wird.

Nach Angaben von AllSecure wurde jeder dieser Contracts mit demselben vierstufigen Ablauf erstellt: Eine Wegwerf-Wallet erhielt etwa 0,0126 ETH, setzte den Contract auf, schrieb die Konfiguration hinein, leitete die verbliebenen rund 0,006 ETH weiter und wurde anschließend aufgegeben. Dieses Muster deute darauf hin, dass der Betreiber die Bereitstellung industrialisiert habe.

Weitere Analysen hätten gezeigt, dass sowohl die Backdoor als auch der über die Browser-Erweiterung realisierte Drainer aus demselben Wallet-Cluster finanziert werden. Das spreche dafür, dass die Aktivität auf einen einzelnen Akteur zurückgeht. Christian Papathanasiou, Mitgründer und CEO von AllSecure, sagte, Kampagnen mit Bezug zu Nordkorea würden häufig auf gefälschte Bewerbungsgespräche und Entwickler-Rekrutierung reduziert. Der beobachtete Fall zeige jedoch, dass dieselbe operative Logik auch in einem breiteren Browsing-Szenario auftauche.