Kaspersky, bekend van de gelijknamige antivirustool, volgt sinds circa 2018 aanvalscampagnes van de DeathStalker Hackgroep. Zij hebben nar verluidt hun ‘VileRat’-toolset bijgewerkt om ook crypto- en valutawisselbedrijven aan te kunnen vallen.
Eerder richtte de hackersgroep zich voornamelijk op advocatenkantoren en organisaties in de financiële sector. Nu breiden ze dit dus uit met onder andere de crypto-sector. Gezien het feit dat de hackers in te huren zijn, zijn hun aanvallen vaak niet politiek of financieel gemotiveerd.
Sinds 2020 heeft de groep een nieuwe tool genaamd VileRat gelanceerd. Dit is een toolset die meestal ingezet wordt na een ingewikkelde infectieketen gestart door de hackersgroep. Dit start meestal met spearphishing e-mails. Hierin worden vaak geïnfecteerde bestanden verstuurd, vaak in de vorm van een .DOC of .DOCX bestand. Door trefwoorden in de titel hiervan te gebruiken zoals compliance of klacht worden de geïnfecteerde bestanden vaker geopend. Eenmaal geopend en de hackers krijgen toegang tot de computer.
VileRat onderscheid zich door zijn geavanceerde tools en kwaadaardige infrastructuur. Ook wordt er in de VileRat-campagne talrijke verduisteringstechnieken gebruikt.
De hackersgroep spant zich sinds 2020 enorm in om de toegang tot zijn doelen te ontwikkelen maar ook juist om te behouden. Het mogelijke doel van de aanvallen verschilt enorm, van due diligence, terugvordering van activa, ondersteuning van rechtszaken of arbitragezaken tot het omzeilen van sancties, maar het lijkt op dit moment niet direct financieel gewin te zijn.
Ook richt VileRat zich niet op slechts een aantal landen. De aanvallen die met VileRat gebeuren zijn wereldwijd, met gecompromitteerde organisaties in Bulgarije, Cyprus, Duitsland, de Grenadines, Koeweit, Malta, de Verenigde Arabische Emiraten en in Rusland. Ook lijken ze niet alleen op de grote bedrijven te richten, want de aangevallen organisaties variëren van startups tot gevestigde marktleiders en vrijwel alles hiertussen.
Vier Noord-Koreanen zijn aangeklaagd voor het stelen van bijna 1 miljoen dollar aan crypto via valse IT-banen.
Deze aanvallen zijn moeilijker te herkennen omdat ze lijken te komen van betrouwbare bronnen en platforms.
ZachXBT beschuldigt Circle van passiviteit terwijl Noord-Koreaanse hackers USDC gebruiken voor miljoenen aan illegale betalingen.
