Nordkoreanische Hacker greifen 3.100+ IP-Adressen an, die mit KI, Krypto und Finanzen verbunden sind, unter Verwendung gefälschter Vorstellungsgespräche
- Mit Nordkorea verbundene Hacker haben mehr als 3.100 IP-Adressen von KI-, Krypto- und Finanzfirmen mit gefälschten Vorstellungsgesprächen angegriffen, so Sicherheitsforscher.
- Die Kampagne, die als PurpleBravo identifiziert wurde, nutzte bösartige GitHub-Repositories, betrügerische Recruiter und Entwickler-Tools, um Unternehmenssysteme weltweit zu kompromittieren.
- Forscher entdeckten sich weiterentwickelnde Malware-Taktiken, darunter VS Code-Backdoors und Credentials-Diebstahl-Trojaner, die zur Ausweitung des Zugriffs in mehreren Regionen eingesetzt wurden.
Nachdem nordkoreanische Hacker 2025 über 2 Milliarden US-Dollar aus dem Krypto-Markt abgezweigt haben, sind sie mit einer gefälschten Rekrutierungskampagne zurückgekehrt, die von einer Gruppe namens PurpleBravo durchgeführt wird.
Nordkorea-verknüpfte Hacker haben laut neuen Bedrohungsinformationen von Recorded Future’s Insikt Group eine Cyber-Spionageaktion gegen mehr als 3.100 Internetadressen gestartet, die mit Unternehmen in den Bereichen künstliche Intelligenz, Kryptowährung und Finanzdienstleistungen verbunden sind.
PurpleBravo wurde dabei beobachtet, wie es betrügerische Rekrutierungsprozesse und Entwickler-Tools einsetzte, die mit schädlicher Software eingebettet waren. Laut der Einschätzung der Insikt Group wurden bisher 20 Opferorganisationen aus Südasien, Nordamerika, Europa, dem Nahen Osten und Mittelamerika identifiziert.
Nordkorea startet Malware-Kampagne mit gefälschten Rekrutierungsgesprächen
Als erklärt von der Insikt Group, zeichnet sich die Kampagne „Contagious Interview“ durch Schurken aus, die sich als Rekrutierer oder Entwickler ausgeben und Arbeitssuchende mit technischen Interview-Aufgaben ansprechen. Während des Überwachungszeitraums wurden mindestens 3.136 einzelne IP-Adressen angegriffen, so die Sicherheitsanalysten.
Die Angreifer gaben sich als Vertreter von Krypto- und Technologieunternehmen aus und baten die Kandidaten, Code zu überprüfen, Repositories zu klonen oder Coding-Aufgaben zu erledigen.
„In mehreren Fällen ist es wahrscheinlich, dass job-suchende Kandidaten schädlichen Code auf Unternehmensgeräten ausgeführt haben, was die organisatorische Exposition über das individuelle Ziel hinaus geschaffen hat“, schrieb die Bedrohungsinformationsfirma in ihrem Bericht.
Die Operation hat mehrere Pseudonyme sowohl in privaten als auch in Open-Source-Einblicken über nordkoreanische Hacker, darunter CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, Gwisin Gang, Tenacious Pungsan, UNC5342, Void Dokkaebi und WaterPlum.
Die Cybersicherheitsgruppe erwähnte auch, dass die Hacker Astrill VPN und IP-Bereiche zur Verwaltung von in China ansässigen Command-and-Control-Servern nutzten. Inzwischen hosteten 17 Dienstleister Malware wie BeaverTail und GolangGhost-Server für sie.
Opfer mit Personas, GitHub und ukrainischen Deckgeschichten ködern
Insikt Group entdeckte vier Online-Personas, die mit PurpleBravo verbunden sind, nach einer Untersuchung von schädlichen GitHub Repositories, Social-Media-Gesprächen über Krypto-Betrug und einem Hacking-Netzwerk-Intelligenzservice.
Laut dem Bericht gaben diese Profile konsequent an, in Odessa, Ukraine, ansässig zu sein, während sie Arbeitssuchende aus Südasien zielten. Insikt gab an, nicht in der Lage gewesen zu sein, zu bestimmen, warum ukrainische Identitäten in der Täuschung verwendet wurden.
In einem der gefälschten Programme nutzten Hacker eine Website, die einen Token bewarb, der auf einer Lebensmittelmarke basiert. Forscher konnten jedoch keine verifizierte Die Verbindung zwischen der Münze und dem Unternehmen, auf das sie verwies, herstellen. Betrüger, automatisierte Bots und schädliche Links bevölkern den offiziellen Telegram-Kanal des Projekts.
Darüber hinaus umfasste der Betrieb auch zwei verwandte Remote-Access-Trojans, PylangGhost und GolangGhost. Die Malware-Familien sind plattformübergreifende Tools, die identische Befehle teilen und die Diebstahl von Browser-Anmeldeinformationen und Cookies automatisieren.
GolangGhost ist mit mehreren Betriebssystemen kompatibel, während PylangGhost nur auf Windows-Systemen funktioniert und den durch App gebundenen Schutz der Anmeldeinformationen von Chrome für Version 127 und höher umgehen kann.
Die Insikt Group fand Telegram-Kanäle, die den Verkauf von LinkedIn- und Upwork-Konten bewarben. Die Verkäufer nutzten Proxy-Dienste wie proxy-seller[.]com, powervps[.]net, residentialvps[.]com, lunaproxy[.]com und sms-activate[.]sowie virtuelle private Server, um ihre Standorte zu verschleiern. Der Betreiber wurde auch dabei beobachtet, wie er mit der Kryptowährung-Handelsplattform MEXC Exchange interagierte.
VS Code Backdoors in Microsoft Visual Studio
Am Montag berichtete Jamf Threat Labs, dass mit Nordkorea verbundene Akteure eine weaponisierte Version von Microsoft Visual Studio Code entwickelt haben, die Backdoors in Systemen finden kann. Diese Taktik wurde erstmals im Dezember 2025 identifiziert und seither verfeinert, so die Sicherheitsexperten.
Laut Jamf-Sicherheitsforscher Thijs Xhaflaire können Angreifer Malware implantieren, die Remote-Code-Ausführung auf Maschinen ermöglicht. Die Infektionskette beginnt, wenn ein Ziel ein bösartiges Git-Repository klonnt und es in VS Code öffnet.
„Wenn das Projekt geöffnet wird, fordert Visual Studio Code den Benutzer auf, den Autor des Repositorys zu vertrauen. Wenn dieses Vertrauen gewährt wird, verarbeitet die Anwendung automatisch die Konfigurationsdatei tasks.json des Repositorys, was dazu führen kann, dass eingebettete beliebige Befehle auf dem System ausgeführt werden“, so Thijs Xhaflaire. schrieb.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
