#BlueNorOff, anche conosciuto come #APT38, #StardustChollima, #BeagleBoyz e #NickelGladstone, è un gruppo finanziariamente motivato responsabile dei trasferimenti illegali di denaro attraverso la falsificazione di ordini da #SWIFT. Questo gruppo è ritenuto essere una unità del più famoso #LazarusGroup, quindi si ritiene essere sponsorizzato dalla Corea del Nord.
Secondo un rapporto del 2020 dell'esercito degli Stati Uniti, BlueNorOff ha circa 1.700 membri che compiono #cybercriminalità finanziaria concentrando l'attenzione sull'analisi a lungo termine e sfruttando le #vulnerabilità della rete nemica e dei sistemi per il guadagno finanziario per il regime o per prendere il controllo del sistema. #BlueNorOff mira alle istituzioni finanziarie e alle borse di #criptovaluta, inclusi oltre 16 organizzazioni in almeno 13 paesi tra il 2014 e il 2021, tra cui Bangladesh, India, Messico, Pakistan, Filippine, Corea del Sud, Taiwan, Turchia, Cile e Vietnam. Si ritiene che i ricavi siano destinati allo sviluppo di tecnologie missilistiche e nucleari.
L'attacco più famoso di BlueNorOff è stato la rapina alla Banca centrale del Bangladesh del 2016, in cui hanno cercato di utilizzare la rete SWIFT per trasferire illegalmente quasi 1 miliardo di dollari dall'account della Federal Reserve Bank di New York appartenente alla Banca centrale del Bangladesh. Dopo che diverse transazioni sono state effettuate (20 milioni di dollari tracciati in Sri Lanka e 81 milioni di dollari nelle Filippine), la Federal Reserve Bank di New York ha bloccato le rimanenti transazioni, a causa dei sospetti sollevati da un errore di ortografia.
Il #malware associato a BlueNorOff include #DarkComet, #Mimikatz, #NESTEGG, #MACKTRUCK, #WANNACRY, #WHITEOUT, #QUICKCAFE, #RAWHIDE, #SMOOTHRIDE, #TightVNC, #SORRYBRUTE, #KEYLIME, #SNAPSHOT, #MAPMAKER, #sysmon, #BOOTWRECK, #CLEANTOAD, #CLOSESHAVE, #DYEPACK, #Hermes, #woPence, #ELECTRICFISH, #PowerRatankba, #PowerSpritz.
Le tattiche comunemente utilizzate da BlueNorOff includono il #phishing, utilizzo di #backdoor, il #drive-by compromise, #wateringhole, lo sfruttamento di versioni obsolete e insicure di Apache Struts 2 per eseguire il codice su un sistema.
