Атаки КНДР на криптоплатформы: React2Shell, AWS и утечка секретов

Недавние расследования выявили серию целевых вторжений в организации криптовалютного сектора, которые, по оценкам экспертов, связаны с North Korean actors. Злоумышленники использовали уязвимости веб-приложений, в частности эксплойт React2Shell (CVE-2025-55182), чтобы получить первоначальный доступ к платформам в крипто-supply chain — от сервисов размещения ставок до поставщиков ПО для exchange.

Ключевые элементы методологии атаки

Атака сочетала эксплуатацию приложений и использование действительных учетных данных в облаке. Основные этапы и инструменты, зафиксированные в расследовании:

• Первичный вектор — эксплуатация уязвимости React2Shell (CVE-2025-55182) в веб-приложениях.
• Доступ к действительным AWS-учетным данным и управление средами AWS через CLI, что соответствует модели Amazon kill chain.
• Широкая разведка инфраструктуры: перечисление ресурсов (S3, Kubernetes, реляционные БД и пр.) для дальнейшего lateral movement.
• Доступ к Kubernetes позволял извлекать конфиденциальные Docker-образы и выполнять команды для добычи секретов проприетарных приложений.
• Сбор секретов из различных хранилищ: AWS Secrets Manager, Terraform state files и других конфигурационных файлов, в результате — обнаружение учетных данных в открытом виде и закрытых ключей.

Инфраструктура злоумышленников и C2

Для обеспечения постоянного управления и эксфильтрации использовалась выделенная инфраструктура Command and Control (C2). Зафиксированные элементы:

• VShell, настроенный на порту 8082 (замечена версия 4.9.3) с использованием конкретных учетных данных.
• FRP — туннельный прокси-сервер, работающий на порту 53, применявшийся для обхода сетевых ограничений и скрытия трафика.
• Хостинг преимущественно в Южной Корее с использованием локальных серверов и VPN для маскировки источника атак.

«Адаптивность их стратегий в сочетании с нацеленным подходом к тонкостям облачных сервисов демонстрирует значительный ландшафт угроз в криптодомене».

Что было похищено и какие риски это создает

Приоритетом злоумышленников стало извлечение исходного кода и жёстко закодированных секретов. Конкретные последствия и угрозы:

• Экфильтрация исходного кода, что открывает путь к поиску скрытых ключей, backdoor-уязвимостей и дальнейшей эксплуатации.
• Кража учетных данных и приватных ключей из AWS Secrets Manager, Terraform state files и конфигураций — риск дальнейших компрометаций и создания новых точек входа.
• Возможность сделать сервисы общедоступными или изменить конфигурации, что приводит к увеличению операционного риска и репутационным потерям.
• Целенаправленное внимание к сервисам типа Elastic Container Registry (ECR) и RDS указывает на попытки получить доступ к ценным артефактам и базам данных.

Связь с исторической активностью и характер вредоносного поведения

Хотя в текущих наблюдениях не зафиксировано использования явно кастомного вредоносного ПО, связанного с КНДР, методология атак и цель — криптовалютные организации — совпадают с предыдущими кампаниями, приписываемыми North Korean actors. Их подход — сочетание эксплуатации публичных уязвимостей, злоупотребления легитимными учетными данными и тонкой работы с облачными сервисами — делает их особенно опасными для сектора.

Рекомендации по защите для криптовалютных платформ

Исходя из характера атак, организациям в криптосекторе рекомендуется срочно внедрить следующие контрмеры:

• Немедленно закрыть и заапплайнить патчи для React2Shell (CVE-2025-55182) и других известных уязвимостей веб-приложений.
• Ротировать и отозвать скомпрометированные AWS-ключи; внедрить строгую политику least privilege и включить MFA для управления доступом.
• Активно мониторить и анализировать операции AWS CLI и аномалии в логах CloudTrail; установить оповещения на массовый перечень ресурсов и изменения политик доступа.
• Проверить и защитить Terraform state files, убрать хранение секретов в открытом виде, использовать защищенные бекенды и шифрование.
• Ограничить доступ к Kubernetes и ECR, включить image scanning, защитить registry и настроить RBAC; исключить хранение секретов в контейнерных образах.
• Пересмотреть политики S3 (публичный доступ по умолчанию запретить), внедрить VPC endpoint и шифрование на уровне объектов.
• Обеспечить централизованный сбор логов, ретеншн, и регулярный threat hunting на признаки VShell/FRP и необычного DNS/53-трафика.
• Ограничить исходящий трафик (egress), включая порты и протоколы, контролировать DNS-туннелирование.
• Проводить регулярные ревизии на предмет жестко закодированных учетных данных в репозиториях и CI/CD конвейерах.

Вывод

Случаи показывают, что злоумышленники успешно комбинируют классические уязвимости приложений с глубокой эксплуатацией облачных сервисов, используя как легитимные учетные данные, так и сложные C2-инструменты. Это создает высокий риск для криптовалютных платформ, где утечка исходного кода и секретов мгновенно может превратиться в прямые финансовые потери. Необходима срочная и системная работа по усилению защиты, мониторингу и оперативному реагированию — иначе подобные кампании будут повторяться и масштабироваться.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.