Таємні кадри з підлаштованого ноутбука викривають, як північнокорейські шпигуни обходять вашу службу безпеки
Північнокорейських оперативників зняли на камеру в реальному часі після того, як дослідники з безпеки заманили їх у пастку — «розробницький ноутбук», за допомогою якого вдалося зафіксувати, як пов’язана з Lazarus група намагалася злитися з американським ринком вакансій у сфері криптовалют, використовуючи легітимні інструменти для найму на основі AI та хмарні сервіси.
Як повідомляється, еволюцію спонсорованої державою кіберзлочинності було зафіксовано в реальному часі дослідниками з BCA LTD, NorthScan і платформи для аналізу шкідливого ПЗ ANY.RUN.
Викриття північнокорейського атакуючого
Hacker News поділилися, як у скоординованій операції команда розгорнула «honeypot» — середовище спостереження, замасковане під легітимний ноутбук розробника, щоб заманити групу Lazarus.
Отримані відеоматеріали дають галузі найчіткіше уявлення про те, як північнокорейські підрозділи, зокрема Famous Chollima, обходять традиційні фаєрволи, просто влаштовуючись на роботу через відділ кадрів цільової компанії.
Операція почалася з того, що дослідники створили образ розробника і прийняли запит на співбесіду від рекрутера під псевдонімом «Aaron». Замість стандартного шкідливого ПЗ рекрутер запропонував цільовому співробітнику віддалену форму зайнятості, поширену у секторі Web3.
Коли дослідники надали доступ до «ноутбука», який насправді був ретельно контрольованою віртуальною машиною, що імітувала робочу станцію у США, оперативники не намагалися експлуатувати вразливості коду.
Замість цього вони зосередилися на тому, щоб виглядати зразковими співробітниками.
Вибудовування довіри
Потрапивши у контрольоване середовище, оперативники продемонстрували робочий процес, оптимізований для того, щоб злитися з колективом, а не зламати систему.
Вони використовували легітимне програмне забезпечення для автоматизації роботи, зокрема Simplify Copilot та AiApply, щоб генерувати відшліфовані відповіді на співбесідах і масово заповнювати форми заявок.
Таке використання західних інструментів продуктивності підкреслює тривожну ескалацію: державні актори використовують ті самі AI-технології, які створені для оптимізації корпоративного найму, щоб обійти ці процеси.
Розслідування показало, що атакуючі спрямовували свій трафік через Astrill VPN, щоб приховати своє місцезнаходження, і використовували браузерні сервіси для обробки кодів двофакторної аутентифікації, пов’язаних із викраденими особистостями.
Кінцева мета — не миттєве знищення, а довгостроковий доступ. Оперативники налаштували Google Remote Desktop через PowerShell із фіксованим PIN-кодом, щоб зберігати контроль над машиною навіть у разі спроби власника відкликати привілеї.
Отже, їхні команди були адміністративними, вони запускали діагностику системи для перевірки апаратного забезпечення.
Фактично, вони не намагалися одразу зламати криптогаманець.
Замість цього північнокорейці прагнули стати довіреними інсайдерами, щоб отримати доступ до внутрішніх репозиторіїв і хмарних панелей керування.
Джерело доходу на мільярди доларів
Цей інцидент є частиною більшої індустріальної схеми, яка перетворила шахрайство з працевлаштуванням на основне джерело доходу для підсанкційного режиму.
Мультистороння група моніторингу санкцій нещодавно оцінила, що групи, пов’язані з Пхеньяном, викрали приблизно $2.83 billions у цифрових активах між 2024 і вереснем 2025 року.
Ця сума, яка становить близько третини валютних надходжень Північної Кореї, свідчить про те, що кібершахрайство стало державною економічною стратегією.
Ефективність цього «людського» вектору атаки була руйнівно доведена у лютому 2025 року під час зламу біржі Bybit.
У тому інциденті атакуючі, яких пов’язують із групою TraderTraitor, використали скомпрометовані внутрішні облікові дані, щоб замаскувати зовнішні перекази під внутрішні переміщення активів, зрештою отримавши контроль над смарт-контрактом холодного гаманця.
Кризис комплаєнсу
Перехід до соціальної інженерії створює серйозну кризу відповідальності для індустрії цифрових активів.
На початку цього року такі компанії з безпеки, як Huntress і Silent Push, задокументували мережі підставних компаній, включаючи BlockNovas і SoftGlide, які мають дійсну реєстрацію у США та переконливі профілі у LinkedIn.
Ці організації успішно змушують розробників встановлювати шкідливі скрипти під виглядом технічних оцінок.
Для співробітників з комплаєнсу та Chief Information Security Officers завдання ускладнилося. Традиційні протоколи Know Your Customer (KYC) зосереджені на клієнті, але робочий процес Lazarus вимагає суворого стандарту «Know Your Employee».
Міністерство юстиції вже почало вживати заходів, конфіскувавши $7.74 millions, пов’язаних із цими IT-схемами, але затримка у виявленні залишається значною.
Як показує операція BCA LTD, єдиний спосіб спіймати цих акторів — перейти від пасивного захисту до активного обману, створюючи контрольовані середовища, які змушують зловмисників розкривати свої методи до того, як їм буде надано доступ до скарбниці.
Публікація Secret footage from a rigged laptop exposes how North Korean spies are slipping past your security team вперше з’явилася на CryptoSlate.
Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.
Вас також може зацікавити
AI «нова хмара» після різкого відскоку швидко втратила запал! CoreWeave тимчасово перейшла від зростання до падіння, а зростання IREN скоротилося наполовину
У четвер на американському фондовому ринку відбувся різкий розпродаж акцій компаній, пов'язаних з AI: CoreWeave, Nebius та IREN впали приблизно на 10%, 15% і 17% відповідно. Після закриття торгів у четвер IREN оприлюднив фінансовий звіт, який перевершив очікування, а дохід від AI Cloud значно зріс. На фоні загального різкого відскоку технологічного сектора в п’ятницю на початку сесії акції CoreWeave зросли на 9,3%, IREN — на 24,6%, Nebius — на 13,7%. Однак під час обідньої сесії американські медіа повідомили, що Microsoft не буде продовжувати оренду частини обчислювальних потужностей у Oracle, що знову погіршило вже поліпшену ринкову атмосферу, і зростання сектору Neocloud звузилося.
1998 VS 2000, керівник Goldman Sachs: розпродаж AI більше схожий на кризу LTCM, ніж на інтернет-бульбашку, але ключові питання залишаються без відповіді
Керівник відділу торгівлі Delta One у Goldman Sachs, Приворотський, вважає, що нинішнє різке падіння більше схоже на кризу ліквідності, подібну до кризи Long-Term Capital Management (LTCM) у 1998 році: тоді фундаментальні показники зростання економіки США залишалися стабільними, і після відновлення ліквідності та зниження ставок ФРС, ринок швидко відіграв втрати. Однак нинішній ринок не має підтримки у вигляді зниження ставок ФРС. Водночас Приворотський зазначив, що справжня проблема штучного інтелекту зараз полягає в тому, чи зможе виручка зрештою відповідати вкладеному капіталу, й на це питання досі немає відповіді.
Нефермерські дані за жовтень знову підвищили очікування підвищення ставок у грудні! Уолл-стріт ставить понад 80% імовірності, "нове федеральне резервне інформац ійне агентство США": розпродаж через AI може стати політичним фактором
Після звіту про рівень зайнятості поза сільським господарством, трейдери ставили на те, що ймовірність підвищення ставки у грудні тимчасово зросла до 85%. Представники Wall Street вважають, що звіт дає можливість для подальшого підвищення ставки, і після проміжних виборів знову виникає тиск на підвищення, коли ринок турбується про уповільнення розбудови AI або послаблення очікувань щодо підвищення ставки; деякі ж з обережністю ставляться до грудневого підвищення через волатильність фондового ринку і перспективи інвестицій у AI, які можуть утримувати Fed. “Новий федеральний резервний інформаційний канал” вважає, що звіт не похитнув оцінки Fed щодо економічного зростання та інфляції, а продаж активів, пов’язаних з AI, може стати новою змінною для рішення в грудні; потрібно звернути увагу, чи Уош орієнтується на запізнілі дані про зайнятість чи на перспективні ринкові сигнали.
У жовтні у США кількість нових робочих місць поза сільським господарством зросла на 165 тисяч, що значно перевищило очікування! Рівень безробіття несподівано знизився до 4,1%, а очікування підвищення процентної ставки у грудні зросли.
У жовтні у США кількість нових робочих місць у несільськогосподарському секторі зросла на 165 тисяч, що в 2,5 раза перевищує середній прогноз Уолл-стріт у 65 тисяч і становить приблизно п'ятикратне стандартне відхилення, значно перевищуючи верхню межу всіх інституційних прогнозів. Рівень безробіття несподівано знизився з 4,2% до 4,1%, хоча ринок очікував незмінності; річний темп зростання середньої погодинної заробітної плати також прискорився до 3,1%. Одночасно попередні два місяці даних по несільськогосподарській зайнятості були переглянуті в бік збільшення на загалом 84 тисячі. Після публікації даних дохідність дворічних казначейських облігацій США підскочила на 7 базисних пунктів, а ймовірність підвищення ставки ФРС у грудні була оцінена в 70%.
Ціни на криптовалюти
Більше
