Kötü amaçlı yazılım çeteleri, kurumsal saldırılarda gizli Kuzey Koreli BT işçilerini seçin

Kuzey Kore ile uyumlu kötü amaçlı yazılım operatörleri, dünya çapında kurumsal kuruluşları hedeflemek için gizli BT çalışanları ile sofistike bir ortaklık kurdu.

Virüs Bülteni 2025’te sunulan yeni bir beyaz makalede ayrıntılı olarak ayrıntılı olarak açıklanan bu işbirliği, siber feferi takımlarını somurtkan istihdam şemalarıyla evlendiren hibrit bir tehdidi ortaya çıkararak, aldatıcı geliştirme siber suç sendikasının ve wagemol aktivite kümesinin iç içe operasyonlarına ışık tutuyor.

En az 2023’ten beri aktif olan aldatıcı geliştirme, sosyal mühendislik yoluyla finansal kazançlara odaklanmaktadır. Operatörleri, LinkedIn, Upwork ve Freelancer gibi platformlarda işe alım görevlisi olarak poz veriyor, yazılım geliştiricilere sahte iş teklifleri ve kodlama zorlukları çekiyor.

Mağdurlar, kripto para cüzdanlarını, tarayıcı kimlik bilgilerini ve anahtarlık verilerini dışarı atan bir infostealer olan Beaverail’i tetikleyerek özel GitHub veya Bitbucket depolarından truva kodlarını indirir.

Beavertail varyantları ayrıca JavaScript tabanlı bir evrim olan Ottercookie ve uzaktan kumanda, keyloglama ve pano çalma özellikleri sunan Python tabanlı bir modüler sıçan olan InvisibleFerret’i de içeriyor.

2024’ün ortalarında, SPEPEDEVEVED, Go ve Python’da yazılmış çok platformlu bir infostealer olan Weaselstore’u kaynak kodu artı GO ortam ikili dosyaları olarak tanıttı.

Kurban tarafından inşa edildikten ve yürütüldüğünde, Weaselstore sadece hassas verileri çıkarmakla kalmaz, aynı zamanda komut ve kontrol sunucusuyla kalıcı iletişimi sürdürür.

2024’ün sonlarında, aldatılmış geliştirme, bileşenleri – Tsunamiloader, Tsunamiinjector, Tsunamiinjector, Tsunamiinjector, Tsunamiinstaller ve Tsunamic -Over -işinde Xmrig ve Nbminer Minasyonlar takmak için uyumlu olan Tsunamikit’i tanıttı.

Aldatın geliştirilmesini Kuzey Kore Devleti-Highed APT’lere bağlayan araştırmacılar, Lazarus Grubu’nun Postnaptea Backdoor ile önemli kod paylaşan 64 bit Windows DLL indiricisi olan Tropidoor’u ortaya çıkardı.

Tropidoor’un sofistike API çözünürlüğü, şifreleme rutinleri ve komuta uygulamaları, Lazarus uzmanlığının ayırt edici özelliğini taşıyor ve Crumaware ve casusluk odaklı aktörler arasında kod yeniden kullanımı ve işbirliği öneriyor.

Bu kötü amaçlı yazılım operasyonlarına paralel olarak, gizli bir şekilde Wagemole kümesi olarak adlandırılan Kuzey Koreli BT işçileri, sızmış kurumsal işe alım süreçlerine sahiptir.

En az 2017’den bu yana, uzak çalışanlar olarak poz veren yaptırımlı bireyler, DPRK rejimini finanse etmek için maaşları yönlendirerek yabancı şirketlerde pozisyonlar verdiler.

Bu işçiler, atlama taraması için çalıntı kimlikler, vekil görüşmeciler ve AI tarafından üretilen sentetik kimlikler kullanırlar.

Profil fotoğraflarını manipüle eder, CV’ler üretir ve hatta video görüşmeleri sırasında gerçek zamanlı yüz değiştirme kullanırlar. Gömüldükten sonra, gasp veya casusluk için dahili veriler çalırlar.

OSINT Research, Alınan Geliştirme ve Wagemole: Sahte İşveren Profilleri arasında işlemsel bağları ortaya koyuyor ve BT çalışan kişileri sık sık e -posta hesaplarını, karşılıklı takipleri ve kod depolarını paylaşıyor.

Halka açık GitHub verileri ve mağdur referansları, bazen bağımsız araştırmacılar ve sosyal medya sleuth’ları tarafından sızan işçi programlarını, müşteri iletişimini ve çalışma kotalarını detaylandırır.

Bu materyaller, Çin, Rusya ve Güneydoğu Asya’da bulunan ve blockchain, web geliştirme ve AI entegrasyonunda uzaktan görevler için günde 16 saate kadar harcadığını göstermektedir.

Sosyal mühendislik odaklı kötü amaçlı yazılım ve istihdam-fraud programlarının bu yakınsaması hibrit bir tehdit oluşturur.

Alınan Development’in yüksek hacimli, düşük sofistike araç seti, insan tarafından işletilen BT işçi kampanyaları, siber suç ve casusluk arasındaki bulanıklık çizgileri ile güçlendirilir. Proxy görüşmesi yeni bir risk oluşturmaktadır: farkında olmadan ödün verilen adayları işe alan kuruluşlar, erişim ayrıcalıklarını kötü niyetli niyetle birleştiren içeriden gelen tehditlerle karşılaşabilirler.

Savunucular, işe alım veterinerini tehdit modellerine entegre ederek bu gelişen manzaraya uyum sağlamalıdır. Güvenlik ekipleri:

• Çok faktörlü doğrulama ve biyometrik kontrollerle aday kimliklerini doğrulayın.
• Sahte hesaplar ve anormal aktivite için işe alım platformlarını izleyin.
• Herhangi bir iş atama artefaktlarının kapsamlı kod incelemelerini yapın.
• Infostealer ve sıçan davranışlarını tespit etmek için sağlam uç nokta izleme uygulayın.

Alınan geliştirme -Wagemole işbirliği, daha geniş ekosistem farkındalığına duyulan ihtiyacın altını çizmektedir. Çevre güvenliğine odaklanan geleneksel savunmalar, insan iş akışlarından ve hileli istihdamdan yararlanan tehditleri tam olarak ele alamaz.

Bütünsel bir yaklaşım – teknik kontrolleri, tehdit istihbarat paylaşımını ve HR işbirliğini ortaya çıkarmak – bu ortaya çıkan hibrit tehdidi engellemek için gereklidir.

IOC

Anında güncellemeler almak ve GBH’yi Google’da tercih edilen bir kaynak olarak ayarlamak için bizi Google News, LinkedIn ve X’te takip edin.