Vụ hack JumpCloud được liên kết với Bắc Triều Tiên sau lỗi OPSEC

Một đơn vị hack của Tổng cục Trinh sát (RGB) của Triều Tiên có liên quan đến vụ tấn công JumpCloud sau khi những kẻ tấn công mắc lỗi bảo mật hoạt động (OPSEC), vô tình làm lộ địa chỉ IP trong thực tế của chúng.

Nhóm hack được Mandiant theo dõi với tên UNC4899, trước đây đã được phát hiện bằng cách sử dụng kết hợp VPN thương mại và Operational Relay Boxes (ORB) sử dụng đường hầm L2TP IPsec để che giấu vị trí thực tế của chúng.

Mandiant cho biết các tác nhân đe dọa UNC4899 đã sử dụng nhiều nhà cung cấp VPN cho mục đích này trong các chiến dịch trước đó, bao gồm ExpressVPN, NordVPN, TorGuard và các nhà cung cấp khác.

Mặc dù tin tặc nhà nước Bắc Triều Tiên được biết đến với việc sử dụng các dịch vụ VPN thương mại để che giấu địa chỉ IP và vị trí thực tế của chúng, nhưng trong cuộc tấn công JumpCloud, VPN mà chúng đang sử dụng đã bị lỗi và làm lộ vị trí của chúng ở Bình Nhưỡng khi kết nối với mạng của nạn nhân.

Các nhà nghiên cứu cho biết: “Mandiant đã quan sát thấy tác nhân đe dọa DPRK UNC4899 kết nối trực tiếp với ORB do kẻ tấn công kiểm soát từ mạng con 175.45.178[.]0/24 của chúng”.

"Ngoài ra, chúng tôi đã quan sát thấy kẻ đe dọa DPRK đăng nhập trực tiếp vào IP của Bình Nhưỡng, từ một trong các jump box của chúng. Bằng chứng thu thập được cho thấy đây là một lỗi OPSEC do kết nối với mạng lưới của Triều Tiên chỉ tồn tại trong thời gian ngắn."

Ngoài sự giám sát của OPSEC này, các nhà nghiên cứu bảo mật của Mandiant còn phát hiện cơ sở hạ tầng tấn công trùng với các vụ tấn công có liên quan trước đây liên quan đến tin tặc Triều Tiên, càng củng cố thêm việc quy kết tấn công cho tin tặc Triều Tiên.

“Chúng tôi đánh giá với độ tin cậy cao rằng UNC4899 là một nhóm tập trung vào tiền điện tử thuộc RGB. Mục tiêu của UNC4899 là có chọn lọc và chúng đã được quan sát thấy có quyền truy cập vào mạng nạn nhân thông qua JumpCloud,” Mandiant nói thêm.

"Mandiant đã quan sát thấy UNC2970, APT43 và UNC4899 đều sử dụng cơ sở hạ tầng tương tự."

Luồng tấn công JumpCloud của Bắc Triều Tiên (Mandiant)