Расследование ZachXBT показало, как северокорейские киберпреступники под видом разработчиков проникают в криптокомпании. Взлом аккаунта одного из участников группировки, причастной к краже $680 000, позволил получить доступ к перепискам, документам и поисковой истории.
Группа из шести человек создала свыше 30 вымышленных профилей с поддельными документами. Один из таких кандидатов прошёл собеседование в Polygon Labs, заявив опыт в OpenSea и Chainlink.
В работе использовались AnyDesk, VPN, Google Workspace. Затраты в мае составили $1489. Финансовые транзакции велись через Payoneer, включая адрес, участвовавший в атаке на Favrr.
История запросов показала интерес к Solana, AI-компаниям Европы и методу определения северокорейской принадлежности кандидата. Использовался Google Translate с российскими IP.
По данным Binance, северокорейские хакеры ежедневно присылают поддельные резюме. Новые методы включают дипфейки и модуляторы голоса. Среди признаков — задержки в ответах, высокая производительность и отсутствие перерывов. Lazarus также проводит атаки через NPM-пакеты и фишинговые «собеседования».
Добавить комментарий