Sicherheitsfirma meldet mutmaßlich nordkoreanische Kampagne gegen Krypto-Plattformen und Cloud-Infrastruktur

Die Sicherheitsforschungsfirma CtrlAltIntel berichtete am 9. März, dass eine mutmaßlich mit Nordkorea verbundene Hackergruppe Staking-Plattformen, Exchange-Softwareanbieter und Kryptowährungsbörsen durch Ausnutzung der React2Shell-Schwachstelle (CVE202555182) und missbrauchter AWS-Zugangsdaten angegriffen hat. Laut der Firma verschafften sich die Angreifer Zugang zu Cloud-Umgebungen, durchsuchten Ressourcen wie S3, EC2, RDS, EKS und ECR und entwendeten Schlüssel und Zugangsdaten aus AWS Secrets Manager, Terraform-Dateien, Kubernetes-Konfigurationen und Docker-Containern. Die Forscher sagten, die Gruppe habe fünf Docker-Images heruntergeladen und Quellcode exfiltriert, darunter Softwarekomponenten von ChainUp-Kunden, unter Nutzung einer Infrastruktur mit dem koreanischen Server 64.176.226[.]36 und der Domain itemnania[.]com. CtrlAltIntel merkte an, dass die Taktiken und Infrastruktur mit zuvor nordkoreanischen Operationen zugeordneten Aktivitäten übereinstimmen, betonte jedoch, dass die Zuordnungssicherheit moderat bleibe und die Herkunft der AWS-Zugangsdaten weiterhin unbekannt sei.