研究人员‘生活’在朝鲜黑客中，发现1640名受害者

一位希腊安全研究人员 reportedly 在北朝鲜黑客服务器中待了22个月。他带回了来自57个国家的1,640个组织的受害者名单。

Vangelis Stykas 是安全公司 Kumio 的首席技术官。他本周在拉斯维加斯的 Black Hat 上展示了这些发现。

猎人如何变成被猎者

Stykas 颠倒了通常的顺序。他逐步进入了黑客们用来运行恶意软件的指挥控制服务器。

在某些情况下，他进入了他们的个人电脑。黑客们自己感染了那些机器。

然后他就简单地待在那里。近两年来，他观察他们的工作，并记录下每一个新出现的受害者。

他提取了大约五个TB的数据。里面包含开发者密钥、私有源代码，以及团队自己的 Slack 和 Discord 消息。

这种访问权限是为什么这个数字是准确的。大多数威胁报告是从外部估计受害者的。

而这个报告是从攻击者自己的文件中计算的。在1,640个组织中，Stykas 认为700到800个组织严重受损。

在X上关注我们，获取最新新闻动态

在这些情况下，黑客们拥有服务器的根访问权限、亚马逊网络服务（AWS）的根权限或加密货币钱包密钥。

没有软件缺陷打开这些门。是工作邀请打开的。

开发者被提供高级职位和丰厚薪水。然后，他们被要求进行一次带回家的编码测试。测试安装了恶意软件。

Palo Alto Networks 的研究人员在 2023 年 11 月将这种模式命名为“传染性面试”。此后，五家安全公司在六个不同的标签下追踪到了同一团队。

微软在 2026 年 3 月发布了自己的分析。它追踪到托管在 GitHub、GitLab 和 Bitbucket 上的假代码包。

在 Visual Studio Code 中打开一个文件会触发信任提示。批准后，编辑器会为攻击者运行代码。

“通过将针对性的恶意软件交付直接嵌入开发者本能信任的面试工具、编码练习和评估工作流程中，威胁行为者利用求职者对招聘过程的信任，”微软安全博客在 3 月的一篇安全博客中摘录道。

后门随后会寻找一份简短的购物清单。微软列出了 API 令牌、云凭证、签名密钥、加密钱包和密码管理器文件。

招聘是一个反复出现的弱点。Consensys 在其团队中发现了一名隐藏的朝鲜开发者，在 MetaMask 代码工作一个月后被发现。

诱饵很便宜，但触及并不便宜。

Stykas发现承包商携带多达30家公司的有效凭证。一台被感染的笔记本电脑成为了进入的三十条途径。

波士顿儿童医院显示了这一模式。Stykas追踪到其暴露源于一名前承包商的个人设备。

医院对这种说法表示异议。它表示在几小时内就切断了凭证，并未发现其系统被入侵的迹象。

这些团队也很挑剔。他们可以访问健康记录和犯罪数据库，但却忽视了这两者。

他们转而寻找钱包和区块链访问权限。Coinbase和Uniswap Labs是根据他的警告采取行动的组织之一。

这种纪律在总数中体现出来。与朝鲜民主主义人民共和国（DPRK）相关的团队在2025年盗取了约20.2亿美元的数字资产。

CrowdStrike将其记录为一年内增长了51%。它还标记了一个称为GOLDEN CHOLLIMA的团队，因为该团队使用招聘诱饵进入金融科技云环境。

这就是Stykas从内部观察到的链条。人类途径持续获胜。

TRM Labs追踪到四月份的2.85亿美元Drift Protocol盗窃案与朝鲜代理人与员工之间的面对面会议有关。

两次攻击造成了2026年损失的76%，而事件仅占3%。自2017年以来，平壤的累计损失已超过60亿美元。

Stykas表示，新的受害者仍在数据中浮现。他警告说，大多数组织从未回复，这就是为什么像Crypto ISAC这样的组织现在汇集朝鲜的威胁情报。

来源：BeInCrypto