Hacker Korea Utara Serang Perusahaan Rekayasa Rudal Rusia

Cyberthreat.id - Dua aktor kebangsaan Korea Utara dikaitkan dengan intrusi dunia maya terhadap NPO Mashinostroyeniya, sebuah perusahaan rekayasa rudal besar Rusia. Demikian laporan The Hacker News.

Perusahaan keamanan siber SentinelOne mengatakan pihaknya mengidentifikasi "dua contoh kompromi terkait infrastruktur TI internal Korea Utara yang sensitif."

“Termasuk kasus kompromi server email dan penyebaran backdoor Windows yang dijuluki OpenCarrot.”

Pelanggaran server email Linux telah dikaitkan dengan ScarCruft. OpenCarrot, di sisi lain, adalah implan yang diketahui sebelumnya diidentifikasi digunakan oleh Lazarus Group.

Serangan itu ditandai pada pertengahan Mei 2022.

Sebuah biro desain roket yang berbasis di Reutov, NPO Mashinostroyeniya diberi sanksi oleh Departemen Keuangan A.S. pada Juli 2014.

Sanksi tersebut berkaitan dengan "upaya Rusia yang terus menerus untuk menggoyahkan Ukraina timur dan pendudukannya yang sedang berlangsung di Krimea."

Meskipun ScarCruft (alias APT37) dan Grup Lazarus berafiliasi dengan Korea Utara, perlu dicatat bahwa yang pertama diawasi oleh Kementerian Keamanan Negara (MSS).

Grup Lazarus adalah bagian dari Lab 110, yang merupakan konstituen dari Reconnaissance General Bureau (RGB), dinas intelijen asing utama negara tersebut.

Perkembangan tersebut menandai konvergensi yang langka di mana dua kluster aktivitas ancaman independen yang berbasis di Korea Utara telah menargetkan entitas yang sama, menunjukkan "misi spionase strategis yang sangat diinginkan" yang dapat menguntungkan program misilnya yang kontroversial.

OpenCarrot diimplementasikan sebagai Windows dynamic-link library (DLL) dan mendukung lebih dari 25 perintah untuk melakukan pengintaian, memanipulasi sistem dan proses file, dan mengelola beberapa mekanisme komunikasi.

"Dengan berbagai fungsi yang didukung, OpenCarrot memungkinkan kompromi penuh dari mesin yang terinfeksi, serta koordinasi beberapa infeksi di jaringan lokal," kata peneliti keamanan Tom Hegel dan Aleksandar Milenkoski.

Metode pasti yang digunakan untuk menembus server email serta rantai serangan yang digunakan untuk mengirimkan OpenCarrot masih belum diketahui, meskipun ScarCruft diketahui mengandalkan rekayasa sosial untuk menipu korban dan mengirimkan backdoor seperti RokRat.

Terlebih lagi, pemeriksaan lebih dekat terhadap infrastruktur serangan telah mengungkap dua domain, centos-packages[.]com dan redhat-packages[.]com, yang memiliki kemiripan dengan nama yang digunakan pelaku ancaman dalam peretasan JumpCloud pada Juni 2023.

“Insiden ini merupakan ilustrasi menarik dari tindakan proaktif Korea Utara untuk secara diam-diam memajukan tujuan pengembangan rudal mereka, sebagaimana dibuktikan oleh kompromi langsung mereka terhadap organisasi Pangkalan Industri-Pertahanan Rusia (DIB),” kata para peneliti.[]