Gli hacker nordcoreani hanno concluso una lista di 216 server web il 24 ottobre, cinque giorni prima che Binance perdesse 6,3 miliardi di dollari. Gli Stati Uniti guidano la classifica, con 49 obiettivi.
Non è ancora noto se qualcuno di essi sia stato effettivamente violato. Gli hacker affermano di sì. L’azienda che li ha scoperti sostiene che le sue prove dimostrano solo il targeting.
Cosa c’era nella lista nera della Corea del Nord?
L’azienda di cybersecurity Cyfirma ha ottenuto i log delle chat dal canale privato degli hacker. Li ha collegati con “alta affidabilità” al Lazarus Group, la rete di hacker di Stato nordcoreana più conosciuta.
Il Giappone segue gli Stati Uniti con 47 server. L’India ne conta 31 e la Corea del Sud 30, dove la notizia è stata pubblicata domenica.
Il gruppo ha cercato server che eseguono PHP, il software dietro circa il 69% dei siti web, secondo i dati W3Techs riportati da Tenable. Due gravi vulnerabilità, denominate PHP2Shell, permettono agli esterni di prendere il controllo delle macchine non aggiornate.
PHP ha rilasciato le patch il 21 ottobre. Cinque giorni dopo, l’agenzia di cybersicurezza statunitense CISA ha inserito entrambe le vulnerabilità tra quelle sfruttate attivamente.
Le chat mostrano cosa cercavano gli hacker.
“Abbiamo bisogno di un ritorno economico e di tutto ciò che porta a soldi, trading o materiali relativi a wallet“, ha detto l’Operatore 1, nelle chat pubblicate da Cyfirma.
I server statunitensi sono stati violati?
Gli hacker si sono vantati che “la maggior parte” dei 216 server “già ha qualcosa di installato”. Hanno anche dichiarato che la lista è salita a 581. Cyfirma non ha verificato nessuna delle due affermazioni.
“La presenza nella lista indica il targeting, non la compromissione.”
L’avviso non riporta alcuna vittima confermata. Inoltre, non menziona a quali settori appartengano i 49 server statunitensi.
La lista nera è collegata all’hack di Binance?
L’avviso di Cyfirma non cita Binance. L’FBI, separatamente, ha attribuito quel furto alla Corea del Nord e i procuratori statunitensi stanno cercando di sequestrare 1,2 miliardi di dollari di quei fondi.
In precedenza, anche Chainalysis aveva attribuito il furto di 387 milioni di dollari a Bitget agli hacker nordcoreani.
Il consiglio di Cyfirma è semplice: aggiornare subito PHP e poi riavviare tutti i processi PHP. Aggiornare solo il sito web lascia ancora la porta aperta.
