Selskapet StealthMole har funnet spor etter identiteten til personer knyttet til hacking av finanssektoren

black computer keyboard — Alexander Sinn / Unsplash

Sikkerhetsselskapet StealthMole har utvidet sin etterforskning av en person mistenkt for hacking av den sørkoreanske finanssektoren til å omfatte et helt kinesiskspråklig nettsamfunn for cyberkriminalitet.

Analysen fokuserte på 19 kontoer, inkludert administratorer og medlemmer, i nettsamfunnene GodNet og VITAS. Blant disse var kontoen YY520CN, som fungerte som tilsynsfører. De øvrige kontoene hadde roller som offisielle operatører, ledere, frivillige og reklameansvarlige. Etterforskningen avdekket koblinger mellom automatiserte roboter som håndterte forespørsler om tjenestenektangrep, og kontoer for kjøpsrådgivning. Det ble observert reklame for tjenester som høyforsvarsservere, innholdsleveringsnettverk, proxy-servere og skyressurser.

En dypere analyse av kontoen HangHang2017, som var registrert som frivillig, avdekket to telefonnumre gjennom profilhistorikk fra april 2024 til mai 2025. Ved å undersøke kildekode på GitHub, fant StealthMole at GitHub-kontoen oswaldlow oppga HangHang2017 som kontaktperson for en tjeneste kalt DemonSword. Dette etablerte en kobling mellom Telegram-kontoen og utviklingsaktivitet, selv om det kreves ytterligere bekreftelse på om samme person styrer begge.

Kryssreferanser med lekkede datasett avdekket tre tilfeller av infeksjoner med informasjonsstjelende skadevare, spesifikt RedLine og Raccoon, mellom november 2021 og februar 2023. Dette ga tilgang til tre IP-adresser, samt brukernavn for Windows, OneDrive-lagringsstier og kontoer for Microsoft og Oracle Cloud. StealthMole presiserer at disse IP-adressene stammer fra historiske skadevareopptak og ikke nødvendigvis er de samme som ble brukt i angrepene mot finanssektoren.

Det ble også funnet minst 101 filer på Telegram mellom april 2023 og september 2026 som inneholdt lekket kontoinformasjon, inkludert kombinasjoner av brukernavn og passord. I tillegg ble det funnet spor etter modifiserte skript for installasjon av proxy-servere knyttet til utvikleren.

StealthMole understreker at det ikke er bevis for at HangHang2017 eller andre medlemmer av nettsamfunnet direkte deltok i eller konspirerte om hackingen av den sørkoreanske finanssektoren. De innsamlede dataene, som telefonnumre og IP-adresser, er ment som ledetråder for etterforskningsmyndigheter for å bekrefte identiteter og eventuell involvering.