Badacz ‘Żyje’ wśród północnokoreańskich hakerów, odkrywa 1 640 ofiar

Grecki badacz bezpieczeństwa spędził podobno 22 miesiące w północnokoreańskich serwerach hakerskich. Wyszedł z listą ofiar 1 640 organizacji w 57 krajach.

Vangelis Stykas jest dyrektorem technologicznym w firmie zabezpieczeń Kumio. Przedstawił wyniki w tym tygodniu na Black Hat w Las Vegas.

Jak Łowcy Stali się Łowionymi

Stykas odwrócił zwykły porządek. Wszedł do serwerów dowodzenia i kontroli, które ekipy używają do uruchamiania swojego złośliwego oprogramowania.

W niektórych przypadkach trafił na ich osobiste komputery. Hakerzy sami zainfekowali te maszyny.

Potem po prostu został. Przez prawie dwa lata obserwował ich pracę i rejestrował każdą nową ofiarę, gdy się pojawiała.

Pobrał około pięciu terabajtów danych. Zawierały klucze dewelopera, prywatny kod źródłowy oraz wiadomości z Slacka i Discorda ekip.

To dostęp jest powodem, dla którego liczba jest pewna. Większość raportów o zagrożeniach szacuje ofiary z zewnątrz.

Ten raport liczył je na podstawie plików samych atakujących. Spośród 1 640 organizacji, Stykas ocenia 700 do 800 jako poważnie naruszonych.

Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco

W tych przypadkach ekipy miały dostęp root do serwerów, uprawnienia root Amazon Web Services (AWS) lub klucze portfeli kryptowalut.

Oferta pracy była jedynym wykorzystaniem, którego potrzebowali

Żaden błąd oprogramowania nie otworzył tych drzwi. Zrobiła to oferta pracy.

Programiści byli podejmowani z propozycjami starszych ról i wysokich wynagrodzeń. Następnie poproszono ich o wykonanie testu kodowania do domu. Test zainstalował złośliwe oprogramowanie.

Badacze Palo Alto Networks nazwali ten wzór Zakaźnym Wywiadem w listopadzie 2023 roku. Od tego czasu pięć firm zajmujących się bezpieczeństwem śledziło tę samą ekipę pod sześcioma różnymi nazwami.

Microsoft opublikował swoje własne zestawienie w marcu 2026 roku. Śledziło ono łańcuch do fałszywych pakietów kodu hostowanych na GitHubie, GitLabie i Bitbucket.

Otwarcie jednego w Visual Studio Code wywołuje komunikat o zaufaniu. Zatwierdź go, a edytor uruchomi kod atakujących za nich.

„Poprzez osadzenie dostarczania złośliwego oprogramowania bezpośrednio w narzędziach do wywiadów, ćwiczeniach kodowania i procesach oceny, którym programiści z natury ufają, aktorzy zagrożeń wykorzystują zaufanie, jakie osoby poszukujące pracy pokładają w procesie rekrutacji,” brzmi fragment z marcowego bloga bezpieczeństwa Microsoft.

Tylnymi drzwiami poluje się na krótką listę zakupów. Microsoft wymienia tokeny API, dane uwierzytelniające w chmurze, klucze podpisujące, portfele kryptograficzne i pliki menedżera haseł.

Rekrutacja to powtarzający się słaby punkt. Consensys złapał ukrytego północnokoreańskiego programistę w swoim zespole, miesiąc po rozpoczęciu pracy nad kodem MetaMask.

Jeden wykonawca, trzydzieści frontowych drzwi

Wabik jest tani. Zasięg nie.

Stykas znalazł wykonawców noszących aktywne poświadczenia dla aż 30 firm. Jeden zainfekowany laptop stał się trzydziestoma sposobami dostępu.

Szpital Dziecięcy w Bostonie pokazuje wzór. Stykas prześledził jego narażenie na osobiste urządzenie byłego wykonawcy.

Szpital kwestionuje to ujęcie. Twierdzi, że usunął poświadczenia w ciągu kilku godzin i nie znalazł żadnych oznak, że jego własne systemy zostały naruszone.

Ekipa była również wybredna. Mogli uzyskać dostęp do rekordów zdrowotnych i baz danych kryminalnych, ale zignorowali obie.

Zamiast tego poszli po portfele i dostęp do blockchaina. Coinbase i Uniswap Labs znajdują się wśród organizacji, które zareagowały na jego ostrzeżenia.

Ta dyscyplina pokazuje się w sumach. Ekipa związana z Ludową Demokratyczną Republiką Korei (LDPRK) ukradła według doniesień 2,02 miliarda dolarów w aktywach cyfrowych w 2025 roku.

CrowdStrike zarejestrował to jako 51% wzrost w ciągu jednego roku. Zwraca również uwagę na ekipę, którą nazywa GOLDEN CHOLLIMA za używanie wabików rekrutacyjnych do uzyskania dostępu do środowisk chmurowych fintech.

To jest łańcuch, który Stykas obserwował od wewnątrz. Ludzka droga wciąż wygrywa.

TRM Labs prześledził kradzież Drift Protocol w wysokości 285 milionów dolarów w kwietniu do osobistych spotkań między północnokoreańskimi proxy a pracownikami.

Dwa ataki spowodowały 76% strat w 2026 roku przy zaledwie 3% incydentów. Łączna kwota z Pyongyangu wynosi teraz ponad 6 miliardów dolarów od 2017 roku.

Stykas mówi, że w danych wciąż pojawiają się nowe ofiary. Większość organizacji, jak ostrzegał, nigdy nie odpisała, dlatego grupy takie jak Crypto ISAC teraz zbierają informacje o zagrożeniach z DPRK.

Źródło: BeInCrypto