Severokorejští hackeři stojící za kampaní Contagious Interview byli zaznamenáni při používání aktualizovaných verzí multiplatformního malwaru nazývaného OtterCookie, který je schopen krást přihlašovací údaje z webových prohlížečů a dalších souborů.
Společnost NTT Security Holdings, která nové poznatky podrobně popsala, uvedla, že útočníci „aktivně a nepřetržitě“ malware aktualizují a v únoru a dubnu 2025 představili verze v3 a v4.
Japonská kyberbezpečnostní společnost sleduje tuto skupinu pod názvem WaterPlum, známou také jako CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, PurpleBravo a Tenacious Pungsan.
OtterCookie byl poprvé zdokumentován společností NTT v roce 2024 poté, co jej zaznamenala v útocích od září 2024. Malware je šířen prostřednictvím škodlivého balíčku npm, trojanizovaného repozitáře na GitHubu nebo Bitbucketu, nebo falešné aplikace pro videokonference. Je navržen tak, aby kontaktoval externí server a prováděl příkazy na kompromitovaných zařízeních.
OtterCookie v3 obsahuje nový upload modul, který odesílá soubory odpovídající předem definovaným příponám na externí server. Jedná se o proměnné prostředí, obrázky, dokumenty, tabulky, textové soubory a soubory obsahující mnemotechnické a obnovovací fráze spojené s kryptoměnovými peněženkami.
Za zmínku stojí, že tento modul byl v OtterCookie v2 spouštěn jako shell příkaz přijatý ze serveru.
Čtvrtá verze malwaru rozšiřuje možnosti předchozí verze o dva nové moduly pro krádež přihlašovacích údajů z Google Chrome a také pro extrakci dat z rozšíření MetaMask pro Google Chrome, prohlížeč Brave a iCloud Keychain.
Další novinkou v OtterCookie v4 je schopnost detekovat, zda je spuštěn ve virtuálním prostředí (VM) jako Broadcom VMware, Oracle VirtualBox, Microsoft a QEMU.
Zajímavé je, že první modul pro krádež údajů z Google Chrome je získává po jejich dešifrování, zatímco druhý modul sbírá šifrovaná přihlašovací data z prohlížečů jako Chrome a Brave.
„Tento rozdíl ve zpracování dat nebo stylu kódování naznačuje, že tyto moduly vyvinuli různí vývojáři,“ uvedli experti Masaya Motoda a Rintaro Koike.
Zdroj: The Hacker News
Zdroj: IT SECURITY NETWORK NEWS
Zdroj: ICT NETWORK NEWS
